Você está na página 1de 122

www.projetoderedes.kit.

net

MARCELO EDUARDO DA SILVA MOREIRA 96/18368


RMULO FACURI MIRANDA CORDEIRO 98/31185

DESENVOLVIMENTO DE PROCEDIMENTOS DE
SEGURANA E IMPLANTAO DE FIREWALL NO
LABORATRIO DE BIOINFORMTICA DA REDE
GENOMA CENTRO-OESTE

Trabalho de graduao apresentado ao


Curso de Cincias da Computao,
Instituto de Cincias Exatas,
Universidade de Braslia.
Orientador: Mestre Joo Jos Costa
Gondim

BRASLIA
2002

Projeto final sob o ttulo Desenvolvimento de Procedimentos de Segurana e


Implantao de Firewall no Laboratrio de Bioinformtica da Rede Genoma CentroOeste, defendida por Marcelo Eduardo da Silva Moreira e Rmulo Facuri Miranda
Cordeiro e aprovada em 11 de setembro de 2002, em Braslia, Distrito Federal, pela
banca examinadora constituda pelos professores:

Prof. Mestre Joo Jos Costa Gondim


Orientador

Prof. Dr. Maria Emlia Machado Telles Walter


Universidade de Braslia

Prof. Dr. Luiz Antnio da Frotta Matos


Universidade de Braslia

Prof. Dr. Marcelo de Macedo Brgido


Universidade de Braslia

Agradecimentos
A elaborao de um projeto de graduao requer muita dedicao e esforo, e
este no foi diferente. Mais do que isso, este projeto foi um desafio para ns. Muitas
foram as vezes que deixamos de lado outros compromissos para poder dar
continuidade a nosso trabalho.
Gostaramos inicialmente de agradecer ao professor e orientador Gondim, que
esteve conosco colaborando, disponibilizando seu tempo e dando seu apoio
fundamental. Como jovens Padawans, estivemos sempre tentando assimilar aquele
conhecimento adicional que nosso mestre poderia nos trazer. Gostaramos tambm de
agradecer professora Maria Emlia, pelas sugestes e suporte dado.
Neste caminho que percorremos, muitos foram aqueles que vieram em nosso
auxlio, alguns trazendo apoio tcnico, outros trazendo apoio psicolgico. Em especial,
gostaramos de agradecer s seguintes pessoas: Leila Aparecida, Sonia Maria e
Manoel Netto, nossos pais; Daniele Beust, por entender os sacrifcios e ausncias
durante o semestre; Alex Rodrigues, como um grande incentivador e amigo; aos nossos
irmos, parentes e amigos de computao, nosso muito obrigado.
Finalmente, gostaramos de agradecer a Deus, por nossa existncia e tambm a
de todas as pessoas que esto conosco. A seguir, destacamos um pensamento de
outro grande mestre:

Um estudante Jedi deve ser humilde em seu poder, amadurecer o suficiente para
abraar a responsabilidade que vem com o domnio da Fora. Um estudante talentoso,
impaciente com exerccios insensatos, ansioso com a lentido de seu tutor, pode perder
o ponto para se tornar um Jedi. O Jedi no almeja poder, mas busca servir outros, sem
a expectativa de formao de ser poderoso na Fora
Mestre Luke Skywalker

www.projetoderedes.kit.net
Sumrio
Captulo 1 - Introduo ..................................................................................................1
1.1.

Introduo segurana dos sistemas de informao.........................................1

Captulo 2 - Segurana de redes e Internet..................................................................5


2.1.
2.6.

Planejando As Necessidades De Segurana .....................................................6


Segurana de uma rede conectada Internet ..................................................13
2.6.1. Modelos de proteo ................................................................................13
2.6.1.1. Sem Segurana ......................................................................................13
2.6.1.2. Segurana por obscuridade....................................................................13
2.6.1.3. Segurana de Host .................................................................................13
2.6.1.4. Segurana de Rede................................................................................14
2.6.1.5. Nenhum modelo de segurana pode fazer tudo .....................................15
2.6.2. Princpios aplicveis segurana de redes conectadas Internet ..........15
2.6.2.1. Menos privilgio......................................................................................15
2.6.2.2. Ponto de Convergncia ..........................................................................16
2.6.2.3. Link mais fraco........................................................................................17
2.6.2.4. Participao de todos .............................................................................17
2.6.2.5. Simplicidade ...........................................................................................18
2.7.
Concluso .........................................................................................................18
Captulo 3 - Firewalls ...................................................................................................19
3.1.

Possibilidades de uso de Firewalls ...................................................................20


3.1.1. O Firewall o foco para decises de segurana ......................................21
3.1.2. O Firewall pode reforar a poltica de segurana .....................................21
3.1.3. O Firewall pode fazer o log eficiente das atividades da Internet ...............21
3.1.4. O Firewall limita a exposio ....................................................................22
3.2.
Impossibilidades de uso de Firewalls................................................................22
3.2.1. O Firewall no pode proteger contra usurios internos malintencionados ..........................................................................................................22
3.2.2. O Firewall no pode proteger contra conexes que no passam por
ele
..................................................................................................................23
3.2.3. O Firewall no pode proteger contra ameaas novas...............................23
3.2.4. Um Firewall no pode proteger contra vrus .............................................23
3.3.
Packet Filtering (Filtragem de Pacotes) ............................................................24
3.3.1. Operaes de um Packet Filter.................................................................30
3.3.2. Vantagens e Desvantagens......................................................................31
3.3.3. Aes do Screening Router ......................................................................31
3.3.4. Riscos na filtragem ...................................................................................32

www.projetoderedes.kit.net

3.4.

3.3.5. Caractersticas desejveis em um screening router .................................34


Concluso .........................................................................................................34

Captulo 4 - Desenvolvimento dos Procedimentos de Segurana...........................35


4.1.
4.2.

Avaliao Preliminar (Fase I) ............................................................................36


Descrio da situao atual (Fase II)................................................................37
4.2.1. Estado da poltica atual.............................................................................37
4.2.2. Classificao de Dados ............................................................................37
4.2.3. Sistemas Sensveis...................................................................................38
4.2.4. Sistemas Crticos ......................................................................................38
4.2.5. Autenticidade ............................................................................................39
4.2.6. Exposio .................................................................................................39
4.2.7. Recursos humanos, gerenciamento e cuidados com a segurana do
pessoal ..................................................................................................................39
4.2.8. Segurana Fsica ......................................................................................40
4.2.9. Segurana das operaes com computadores.........................................41
4.2.10. Controle de acesso a dados .....................................................................42
4.2.11. Segurana da rede e comunicaes.........................................................42
4.2.12. Medidas Antivrus .....................................................................................43
4.2.13. Backups, arquivos e destruio de dados ................................................43
4.2.14. Descrio do Hardware existente no Laboratrio de Bioinformtica.........44
Estaes de trabalho ...........................................................................44
Servidores............................................................................................46
Switch ..................................................................................................48
Impressora...........................................................................................48
4.3.
Procedimentos de Segurana (Fase III) ...........................................................49
4.3.1. Introduo.................................................................................................49
4.3.1.1. Propsito do trabalho...........................................................................49
4.3.1.2. A quem se destina ...............................................................................49
4.3.1.3. Como esto distribudos os procedimentos.........................................49
4.3.2. Comunicaes ..........................................................................................50
4.3.2.1. Firewall ................................................................................................50
4.3.2.2. Sistema de Deteco de Intruso (IDS) ..............................................52
4.3.2.3. Servidor Web e Acesso Remoto..........................................................53
4.3.3. Infra-estrutura ...........................................................................................55
4.3.3.1. Segurana Fsica.................................................................................55
4.3.4. Metodologias.............................................................................................57
4.3.4.1. Recursos Humanos, gerenciamento e cuidados com a segurana
dos empregados..................................................................................................57
4.3.4.2. Classificao de informao ................................................................59
4.3.4.3. Sistemas Crticos e controle de acesso a dados .................................60
4.3.4.4. Proteo Antivrus ...............................................................................62
4.3.4.5. Procedimentos de Backup ...................................................................63
4.3.4.6. Operaes com computadores............................................................65

www.projetoderedes.kit.net
4.4.

Concluso .........................................................................................................66

Captulo 5 - Implantao..............................................................................................67
5.1.
5.2.

Plano de implantao .......................................................................................67


Instalao do OpenBSD ...................................................................................68
5.2.1. Viso geral do procedimento de instalao OpenBSD .............................68
5.2.2. Arquiteturas de OpenBSD suportadas......................................................68
5.2.3. Criando CD de inicializao para o OpenBSD..........................................68
5.2.3.1. Elaborao do disquete de boot ..........................................................69
5.2.3.2. Download dos arquivos de instalao .................................................69
5.2.3.3. Criao do CD de Boot........................................................................69
5.2.4. Inicializando as Imagens de Instalao do OpenBSD ..............................70
5.2.5. Configurando os discos durante a instalao ...........................................71
5.2.6. Especificando os parmetros de disco .....................................................71
5.2.7. Configurando o ponto de montagem e formatando o sistema de
arquivos ..................................................................................................................73
5.2.8. Instalando a rede ......................................................................................74
5.2.9. Escolhendo Mdia de Instalao e senha de root .....................................76
5.2.10. Escolhendo os pacotes de instalao e finalizando..................................76
5.2.11. Finalizando ...............................................................................................78
5.3.
Configurao do HTTPS...................................................................................79
5.4.
Arquivo pf.conf ..................................................................................................80
5.4.1. Definies de macros ...............................................................................81
5.4.2. Regra de Scrub.........................................................................................82
5.4.3. Regra de bloqueio de tudo por padro .....................................................82
5.4.4. Regra para prevenir spoofing ou desconfigurao ...................................83
5.4.5. Regra para derrubar pacotes de broadcast ..............................................83
5.4.6. Regras da interface externa (conectada rede externa)..........................83
5.4.6.1. Regras de ICMP ..................................................................................83
5.4.6.2. Regras de UDP....................................................................................84
5.4.6.3. Regras de TCP ....................................................................................84
5.4.7. Regras da interface servidor .....................................................................85
5.4.7.1. Regras UDP.........................................................................................85
5.4.7.2. Regras TCP .........................................................................................85
5.4.8. Regras da interface interna (conectada rede interna)............................86
5.4.8.1. Regras UDP.........................................................................................86
5.4.8.2. Regras TCP .........................................................................................86
5.5.
Arquivo resolv.conf ...........................................................................................87
5.6.
Arquivos rc.conf e rc.local.................................................................................87
5.7.
Arquivo nat.conf ................................................................................................89
5.8.
Arquivo sysctl.conf ............................................................................................90
5.9.
Arquivo syslog.conf...........................................................................................91
5.10.
Arquivos de Interfaces de Rede........................................................................91
5.11.
Arquivo mygate .................................................................................................92

www.projetoderedes.kit.net
5.12.
Arquivo myname ...............................................................................................92
5.13.
Arquivo Hosts....................................................................................................92
5.14.
Outros procedimentos de configurao ............................................................93
5.14.1. Identificando e Configurando as Interfaces de Rede ................................93
5.14.2. Configurando o OpenBSD como um Gateway..........................................94
5.15.
Concluso .........................................................................................................94

Captulo 6 - Dificuldades e sugestes futuras...........................................................95


6.1.
6.2.
6.3.

Problemas encontrados ....................................................................................95


Trabalhos Futuros.............................................................................................95
Concluso .........................................................................................................96

Captulo 7 - Concluso ................................................................................................97


Anexo 1 - Questionrio de Avaliao Preliminar.......................................................99
1.1.
1.2.
1.3.
1.4.
1.5.
1.6.
1.7.
1.8.
1.9.
1.10.
1.11.
1.12.
1.13.

Estado da poltica atual.....................................................................................99


Classificao de Dados ....................................................................................99
Sistemas Sensveis.........................................................................................100
Sistemas Crticos ............................................................................................101
Autenticidade ..................................................................................................101
Exposio .......................................................................................................101
Recursos humanos, gerenciamento e cuidados com a segurana do
pessoal ...........................................................................................................102
Segurana Fsica ............................................................................................103
Segurana das operaes com computadores...............................................104
Controle de acesso a dados ...........................................................................105
Segurana da rede e comunicaes...............................................................106
Medidas Antivrus ...........................................................................................108
Backups, arquivos e destruio de dados ......................................................109

Anexo 2 - Lista de Tabelas ........................................................................................110


Anexo 3 - Lista de Ilustraes...................................................................................111
Referncias Bibliogrficas ........................................................................................112
Anexo 4 - Respostas ao Questionrio......................................................................114

www.projetoderedes.kit.net

Captulo 1 Introduo
1.1.

Introduo segurana dos sistemas de informao

O crescimento dos computadores e da tecnologia da informao tem sido


explosivos. Nunca antes uma tecnologia inteiramente nova se propagou por todo o
mundo em uma velocidade to grande e com tanta penetrao em praticamente toda
atividade humana. Computadores trouxeram vastos benefcios a inmeras reas como
o estudo do genoma humano, explorao espacial, inteligncia artificial, bem como todo
um conjunto de aplicaes, das mais triviais at as mais importantes vida.
Infelizmente, existe um lado ruim do uso dos computadores: Eles podem ser
empregados para desenvolver armas de destruio em massa, submarinos nucleares e
tambm aeronaves militares.
Computadores so tambm utilizados em aplicaes financeiras, facilitando a
compra e venda de qualquer coisa, desde palitos de fsforo at manses, e
transferindo trilhes de dlares todos os dias em fundos. Porm, muitos vem estas
atividades como convites fraude e ao roubo. Sistemas computacionais e suas redes
de interconeco so tambm vtimas de: vndalos, ataques maliciosos, terroristas,
bem como pessoas, grupos ou governos intencionados a usar os sistemas
computacionais para seus prprios fins. Alm destes problemas de ataques
intencionais, existem inmeros modos pelos quais erros inadvertidos podem prejudicar
ou destruir a capacidade computacional em desempenhar atividades desejadas.
Em funo destes problemas de segurana, o crescimento necessidade de
segurana dos sistemas de informao tm sido paralelo ao prprio crescimento dos
computadores. Apenas com um estudo detalhado dos problemas potenciais e
implementao das alteraes sugeridas, os computadores podero ter a capacidade
de atender s expectativas voltadas a eles.
Segurana pode ser definida como o estado de estar livre de perigo e no
exposto ao perigo de acidentes ou ataques, ou isto pode ser definido como o processo
de aquisio deste estado desejvel [9]. O objetivo da segurana dos sistemas de

www.projetoderedes.kit.net

informao otimizar a performance de uma rede, seja esta de um laboratrio ou


organizao, respeitando os riscos aos quais ela est exposta.
Risco definido como a chance de prejuzo, perigo ou perda. Assim, risco possui
dois elementos [9]:

Elemento de incerteza;

Perda ou prejuzo.

A no ser pela possibilidade de restituio, as aes dos Sistemas de Segurana


da Informao (SSI) tomadas hoje trabalham para reduzir riscos de perda futuros. Em
funo da incerteza dos riscos no futuro, a segurana perfeita, que implica perda zero,
seria infinitamente cara. Por esta razo, gerenciadores de risco em SSI se esforam por
otimizar a alocao de recursos, minimizando o custo total das medidas de SSI
tomadas e o risco das perdas experimentadas.
Neste contexto de Segurana da Informao, um elemento que possui
importncia chave no Projeto de Segurana de qualquer rede que necessite de
proteo contra aes externas indesejveis o Firewall. Um Firewall d a uma rede
uma forma de se criar um meio termo entre redes que so isoladas e redes externas,
tais como a Internet, e estas que so completamente conectadas. Colocado entre a
rede interna e a rede externa, o Firewall fornece uma maneira simples de controlar a
quantidade e as formas de trfego que iro passar entre as duas redes.
O termo Firewall tambm aplicado indstria de construo. Quando um
apartamento ou escritrio construdo, ele pode ser equipado com um Firewall (parede
de fogo), sendo estas paredes especialmente construdas e resistentes ao fogo.
A mesma filosofia pode ser aplicada proteo de uma rede local contra
ataques a mquinas localizadas na rede externa. Usado dentro de uma organizao,
um Firewall pode reduzir o volume de prejuzo: um intruso pode invadir um conjunto de
mquinas, mas o Firewall ir proteger outro conjunto. Levantado entre a rede interna e
a externa, um Firewall pode prevenir um invasor malicioso, que j obteve acesso a
computadores da rede externa, de obter um ponto de apoio internamente.

www.projetoderedes.kit.net

O presente projeto teve como objetivos o Desenvolvimento de Procedimentos de


Segurana e a implantao de um Firewall no Laboratrio de Bioinformtica (BIOINFO)
da Rede GENOMA Centro-Oeste.
Na criao dos Procedimentos de Segurana, utilizou-se como base os modelos
de polticas existentes: RFC2196 [3] (Site Security Handbook) e o IT Baseline Protection
Manual [4]. Alm destes, foi tambm utilizado como referncia um questionrio
existente no captulo 46 do Computer Security Handbook [10].
Para a implantao do Firewall, utilizou-se o OpenBSD (sistema operacional)
verso 3.11, o qual foi instalado em uma mquina dedicada, contendo 3 interfaces de
rede e o Packet Filter para realizar a filtragem dos pacotes. Este foi primeiramente
instalado em uma mquina de teste no laboratrio. Posteriormente esta instalao e
verificao de seu funcionamento adequado, foi feita a instalao do sistema
operacional na mquina definitiva e migrao da configurao da mquina de testes
para esta.
Este trabalho foi estruturado de forma que, nos captulos iniciais (Captulos 2 e
3), fosse levantado um arcabouo terico para as duas partes prticas do projeto. No
Captulo 2 so explanadas as linhas de base sobre o planejamento de necessidades de
segurana, avaliao dos riscos bem como os modelos de proteo e os princpios de
segurana de uma rede conectada Internet. O Captulo 3 aborda os conceitos de
Firewall, suas indicaes, contra-indicaes e utilizao do Packet Filter.
Uma vez de posse dos conceitos de segurana abordados no Captulo 2, o
Captulo 4 inicia a parte prtica do projeto, a qual se refere ao Desenvolvimento dos
Procedimentos de Segurana. Este Captulo dividido em 3 partes: Avaliao
Preliminar (FASE 1 - Levantamento de Dados); Descrio da Situao Atual (FASE 2) e
os Procedimentos de Segurana (FASE 3).
Finalizando a parte prtica do projeto, o Captulo 5 aborda a Implantao do
Firewall, descrevendo as etapas de instalao, configurao da rede e implantao das
regras de filtragem.
O Captulo 6 destinado a uma descrio das dificuldades encontradas nas
etapas de Desenvolvimento dos Procedimentos de Segurana e Implantao do
Firewall, bem como sugestes para trabalhos futuros.
3

www.projetoderedes.kit.net

A Concluso do Trabalho feita no Captulo 7, onde se tem um fechamento


sobre os resultados obtidos na Implementao do Firewall e na apreciao das
Medidas de Segurana propostas. Aps este captulo segue o Anexo 1 (contendo o
Questionrio de Avaliao Preliminar), o Anexo 2 (contendo a lista de tabelas), o Anexo
3 (contendo a lista de ilustraes) e as Referncias Bibliogrficas. Nesta ltima
encontram-se todas as fontes consultadas para estudo, elaborao e implantao da
parte prtica, bem como deste documento.

www.projetoderedes.kit.net

Captulo 2 Segurana de redes e Internet


Fundamentalmente, segurana computacional consiste em uma srie de
solues tcnicas para problemas no tcnicos. Pode-se gastar uma ilimitada
quantidade de tempo, dinheiro e esforo em segurana computacional, mas nunca ser
resolvido o problema de perda de dados acidentais ou uma interrupo intencional de
suas atividades. Dadas as devidas circunstncias bugs de software, acidentes,
erros, m sorte, mau tempo ou um invasor bem motivado e bem equipado qualquer
computador pode ficar comprometido, submetido a desuso ou algo pior do que isso.
A funo dos profissionais de segurana auxiliar organizaes a decidir quanto
tempo e dinheiro precisam ser gastos com segurana. A outra parte do trabalho
assegurar

que

as

organizaes

possuam

polticas,

orientaes

bsicas

procedimentos para que o dinheiro seja bem gasto. E finalmente, o profissional precisa
auditar o sistema para assegurar que os controles apropriados esto implementados
corretamente para alcanar os objetivos da poltica. Deste modo, a segurana prtica
realmente uma questo de gerenciamento e administrao mais do que uma habilidade
tcnica. Consequentemente, a segurana deve ser prioridade no gerenciamento de
uma rede de computadores.
Existem dois princpios crticos implcitos na poltica efetiva e planejamento de
segurana [9].

Poltica e qualidade de segurana devem ser dirigidas de cima para baixo


no local a ser implantado. Preocupaes com segurana e qualidade pelos
usurios so importantes, mas elas no podem construir ou sustentar uma
cultura efetiva de segurana. Ao invs disso os chefes de organizaes
devem tratar a segurana como algo de suma importncia e acat-la em
todas as regras e regulamentaes como todos os outros.

Segurana computacional efetiva significa proteger informao. Todos os


planos, polticas e procedimentos devem refletir a necessidade de proteger
informao de qualquer forma. Os dados no se tornam sem importncia
quando impressos ou enviados via fax para outro local ao invs de estarem
5

www.projetoderedes.kit.net

contidos em um arquivo no disco. A informao confidencial interpessoal no


perde seu valor, repentinamente, se for falada no telefone entre dois usurios
ao invs de estar contida num correio eletrnico. A informao deve ser
protegida no importando a sua forma.

2.1.

Planejando As Necessidades De Segurana

Existem vrios diferentes tipos de segurana computacional, e vrias diferentes


definies. Mais do que apresentar apenas uma definio formal, este trabalho aborda
uma aproximao prtica e discute as categorias de proteo que devem ser
consideradas. Computadores seguros so tambm computadores de uso e, do mesmo
modo, computadores que no podem ser usados, por qualquer razo, no so muito
seguros.
Dentro desta abordagem, existem vrios e diferentes tipos de segurana que
tanto usurios, quanto administradores de sistemas de computadores devem se
preocupar [9].

Confidencialidade

Proteger informao de ser lida ou copiada por qualquer um que no est


explicitamente autorizado pelo dono da informao. Este tipo de segurana
inclui no somente proteger a informao como um todo e sim proteger
pedaos individuais de informao que podem ser inofensivos por eles
mesmos mas que podem ser usadas para inferir outra informao
confidencial.

Integridade dos Dados

Corresponde a proteger a informao (inclusive programas) de serem


apagados ou alterados de alguma forma sem a permisso do proprietrio da
informao. Proteo da informao tambm inclui proteger itens como

www.projetoderedes.kit.net

registro de contas, fitas de backup, nmero de vezes que o arquivo foi


criado e documentao.

Disponibilidade

Proteger os servios para que eles no fiquem degradados ou indisponveis


sem autorizao. Se o sistema est indisponvel quando um usurio
autorizado precisa dele, o resultado pode ser pior do que se uma informao
que reside no sistema fosse apagada.

Consistncia

Assegurar-se que o sistema comporta-se como esperado pelos usurios


autorizados. Se o software ou o hardware repentinamente comea a se
comportar de uma maneira radicalmente diferente daquela que se costuma
comportar, especialmente aps uma atualizao ou a reparao de um erro,
pode ocorrer um desastre. Seria um grande problema se o comando ls
ocasionalmente apagasse arquivos ao invs de list-los. Este tipo de
segurana tambm pode ser considerado como assegurar a exatido dos
dados e do software que est sendo utilizado.

Controle

Regular acesso ao sistema. Se indivduos (ou software) desconhecidos ou


no autorizados so encontrados no sistema, eles podem criar um grande
problema. Deve-se preocupar como entraram, o que devem ter feito e quem
ou o que mais tambm acessou o sistema. Recuperar-se destes episdios
pode requerer considerveis tempo e gasto para reconstruir e reinstalar o
sistema e ainda verificar se nada de importante foi mudado ou revelado
mesmo se nada aconteceu de fato.

www.projetoderedes.kit.net

Auditoria

Tal como preocupar-se com usurios no autorizados, os usurios


autorizados s vezes cometem erros, ou at mesmo atos maliciosos. Nesses
casos deve-se determinar o que foi feito, por quem, e o que foi afetado. A
nica maneira de se alcanar estes resultados atravs de alguns registros
incorrompveis de atividade no sistema que indiscutivelmente identifica os
autores e aes envolvidas. Em algumas aplicaes crticas, a trilha da
auditoria pode se estender autorizao de operaes que desfaam ou
ajudem a restaurar o sistema ao seu estado correto.

Embora todos estes aspectos de segurana sejam importantes, organizaes


diferentes visualizaro, cada qual com um diferente nvel de importncia. A variao
devida porque diferentes organizaes tm diferentes preocupaes e devem
direcionar suas prioridades e polticas de acordo com suas necessidades. Por exemplo:

Num ambiente bancrio, integridade e auditoria so geralmente as


preocupaes mais crticas, enquanto a confidencialidade e disponibilidade
so as seguintes no nvel de importncia.

Num sistema nacional relacionado defesa o qual processa informao


classificada, confidencialidade vem primeiro e disponibilidade vem por ltimo.

Numa universidade, integridade e disponibilidade podem ser os requisitos


mais importantes. A prioridade dada aos estudantes para trabalharem em
seus projetos ao invs de monitorar o horrio exato que os estudantes
acessaram suas contas.

Para um administrador de segurana, necessrio entender completamente as


necessidades de seu ambiente operacional e de seus usurios. Este ento precisar
definir os procedimentos conformemente. Nem tudo que descrevemos nesse trabalho
ter aplicao direta a qualquer ambiente.

www.projetoderedes.kit.net

Confiana

Profissionais de segurana, geralmente no se referem a um sistema de


computador como sendo "seguro" ou "inseguro". Ao invs disso, usada a palavra
"confivel" para descrever o nvel de confiana no qual o sistema computacional se
comporta. Isto reconhece que a segurana absoluta nunca estar presente.
Desenvolver confiana adequada em um

sistema

computacional requer um

pensamento cuidadoso e planejado. As decises devem ser baseadas nas decises


polticas e anlise de risco.

Avaliao de Risco

O primeiro passo para melhorar a segurana de um sistema responder as


questes bsicas que seguem abaixo.

O que estou tentando proteger?

De quem eu devo proteger?

Quanto tempo, esforo e dinheiro eu estou pretendendo gastar para obter a


proteo adequada.

Essas questes formam a base do processo conhecido como avaliao de risco.


A avaliao de risco uma parte muito importante da segurana computacional. No se
pode proteger a si mesmo se no do conhecimento contra o que se protege. Aps
saber dos riscos existentes, pode-se planejar as polticas e tcnicas que sero
necessrias para implementar e reduzir estes riscos.
Por exemplo, se existe o risco de falha de energia e se a disponibilidade do
equipamento importante, pode-se reduzir os riscos adquirindo um dispositivo UPS
(Uninterruptable Power Suply).

www.projetoderedes.kit.net

O risco no pode ser eliminado

possvel identificar e reduzir os riscos, mas nunca poder elimin-los por


inteiro. Por exemplo, pode-se comprar um dispositivo de fora ininterrupta para reduzir
o risco de falha de energia, deteriorando seus dados. Mas este dispositivo pode falhar
quando voc precisar dele; a interrupo de energia pode ser maior do que a
capacidade de sua bateria; o pessoal de limpeza pode desplugar o cabo de fora no
momento de lavar o cho, etc.
Uma avaliao do risco cuidadosa identificar estes riscos secundrios e ir
ajud-lo a fazer planos para eles. Pode-se comprar um segundo dispositivo de
ininterruptabilidade de fora, mas existe ainda a possibilidade dos dois falharem ao
mesmo tempo.
Avaliao dos riscos pode ajudar a se proteger e proteger uma rede contra riscos
humanos e naturais. Pode-se usar a avaliao de risco para efetivar a proteo contra
quebra de computadores, identificando os riscos e planejando de acordo, mas falhas de
energia no se pode eliminar completamente.
Este fato fundamental para a segurana computacional. No importa quo
seguro esteja um computador, este poder ser invadido se forem usados recursos
suficientes, tempo, motivao e dinheiro.

Quatro passos simples para uma melhor segurana de computadores

Fazer um computador seguro um trabalho rduo. De maneira geral,


recomenda-se ao menos seguir estes quatros passos simples:

1. Decida quo importante a segurana para o local. Caso a segurana seja muito
importante e o local sofrer perdas significativas no caso de uma ruptura na
segurana, deve ser dada uma certa prioridade a esta resoluo. Associar um
programador sobrecarregado de trabalho o qual no tem a menor intimidade para
tomar conta da segurana, sem dvida, uma incitao problemas.

10

www.projetoderedes.kit.net

2. Envolver e educar a comunidade de usurios. Os usurios no local de trabalho


compreendem os perigos e riscos envolvidos com prticas de segurana? Os
usurios devem saber o que e quem chamar se observarem alguma coisa suspeita
ou desapropriada. Educar a populao de usurios ajuda-os a fazer deles parte da
segurana. Manter os usurios mal informados das limitaes do sistema e das
operaes no aumentar a segurana do sistema - existem sempre outras fontes
de informaes para determinados invasores.
3. Planejar uma maneira de fazer e armazenar backups dos dados do sistema. Devese ter backups peridicos, com informao sobre as datas dos mesmos, bem como
fazer uma rotina de verificao dos dados contidos nas mdias.
4. Estar alerta e suspeitar de tudo. Se alguma coisa aparentemente incomum
acontecer, deve-se suspeitar de um intruso e investigar. Geralmente o problema
trata-se de uma falha ou erro no sistema. Mas ocasionalmente pode-se descobrir
algo mais srio. Por esta razo, cada vez que alguma coisa acontece e
definitivamente no se consegue explicar, deve-se suspeitar de um problema de
segurana e investig-lo.

Administrar o risco usar o bom senso

crucial, para uma boa avaliao de risco, identificar todas as possveis


ameaas ao sistema, mas apenas se defender contra aqueles ataques que, na
realidade, sejam ameaas verdadeiras.
S porque pessoas so o ponto fraco quando se fala em segurana de sistemas,
isso no significa que devemos ignorar outras medidas de segurana. Pessoas so
imprevisveis, mas conseguir invadir um modem discado que no protegido por uma
senha, sai mais barato que um suborno. Portanto, utilizam-se defesas tecnolgicas
onde for possvel, e seja possvel melhorar a segurana a nvel de pessoal atravs da
educao de funcionrios e usurios.
Deve-se apostar na defesa em profundidade: aplicar nveis mltiplos de defesas
como backups, caso algum falhe. Por exemplo, pode-se comprar um segundo sistema
UPS ou colocar uma tranca separada na sala de computadores, mesmo que j exista
11

www.projetoderedes.kit.net

uma tranca na porta do prdio onde a sala se encontra.

Embora esse tipo de

combinao possa ser derrotada, isso implica num aumento de esforo e custo para o
invasor, e isso talvez possa convenc-los que no vale a pena.

No mnimo, tais

medidas podero retard-los o suficiente para que os sistemas de monitoramento ou


alarmes possam pedir ajuda antes que algum estrago maior seja feito.
Tendo em mente estes limites, deve-se encarar que a segurana de sistemas
um conjunto bem desenvolvido de prioridades. No possvel se proteger contra todo
tipo de ameaa. s vezes melhor deixar que o problema ocorra e limpar a baguna
depois, em vez de efetuar algum tipo de preveno. Por exemplo, o esforo poder ser
menor e menos custoso deixando que o sistema caia durante uma falta de energia e
depois reiniciar, do que comprar um sistema UPS. Vale lembrar que existem algumas
coisas contra as quais nem vale a pena se defender, ou porque so muito improvveis
que aconteam (ex. uma invaso aliengena), muito difceis de defender (ex. uma
exploso nuclear a 800 metros do centro de dados), ou simplesmente catastrficas ou
horrveis demais para contemplar (ex. a gerncia decide trocar todas as maquinas UNIX
para um sistema operacional bem conhecido).
A chave para um bom gerenciamento conhecer as coisas que possam trazer
alguma preocupao e qual o grau desta preocupao.
Deve-se decidir o que deve ser protegido e quais podem ser os custos para
prevenir estas perdas versus o custo de recuperar-se destas perdas. Ento, tomar as
decises para aes e medidas de segurana baseadas num lista priorizada pelas
necessidades mais crticas.

12

www.projetoderedes.kit.net

2.6.

Segurana de uma rede conectada Internet

2.6.1. Modelos de proteo

2.6.1.1. Sem Segurana

A abordagem mais simples possvel

no investir nenhum esforo em

segurana, mantendo o nvel de segurana padro que j vem com a mquina.

2.6.1.2. Segurana por obscuridade

Outro modelo possvel de segurana aquele geralmente conhecido como


"segurana por obscuridade. Com este modelo, um sistema estaria seguro em funo
(supostamente) de ningum saber sobre ele - sua existncia, contedos, medidas
segurana ou qualquer outra coisa. Esta abordagem raramente dura muito tempo.
Muitas pessoas assumem que embora os invasores possam ach-los, eles no
os aborrecero. Eles imaginam que uma companhia pequena ou um computador
domstico no sero do interesse de intrusos. Na realidade, muitos intrusos no so
levados por interesses particulares, eles simplesmente querem invadir tantas mquinas
quanto possvel. Para eles, companhias pequenas e computadores domsticos so
vistos simplesmente como alvos fceis.
Intrusos tm muito tempo em suas mos e podem evitar quase sempre ter que
descobrir fatos mais complexos simplesmente tentando todas as possibilidades. No final
das contas, confiar em obscuridade no uma escolha de segurana inteligente.

2.6.1.3. Segurana de Host

Provavelmente o modelo mais comum para segurana de computadores


segurana de host. Com este modelo, aplicada a segurana em cada mquina de
host separadamente, e todo esforo feito para evitar ou aliviar os problemas de
segurana conhecidos que poderiam afetar aquele host em particular. O problema com
13

www.projetoderedes.kit.net

a segurana de host no a efetividade desta, mas que ela fica pouco vivel em
grandes instalaes com um nmero elevado de host.
O impedimento principal segurana de host em ambientes de computao
modernos a complexidade e diversidade desses ambientes. A maioria dos ambientes
modernos inclui mquinas de diversos vendedores, cada um com seu prprio sistema
operacional, e seu prprio conjunto de problemas de segurana. At mesmo se o local
possuir mquinas de s um vendedor, verses diferentes do mesmo sistema
operacional tm problemas de segurana significativamente diferentes. At mesmo se
todas estas mquinas so de um nico vendedor e tem a mesma verso do sistema
operacional, configuraes diferentes (servios diferentes habilitados, e assim por
diante) podem trazer conjuntos de subsistemas diferentes, o que conduz a conjuntos
diferentes de problemas de segurana. E, at mesmo se as mquinas forem
absolutamente idnticas, a grande quantidade deles em alguns locais pode fazer a
segurana ser muito complexa.
Segurana de host tambm diz respeito s boas intenes e ao nvel de acesso
que cada um tem para uso da mquina. Na medida em que o nmero de mquinas
aumenta, o nmero de usurios privilegiados geralmente aumenta tambm. Fazer a
segurana de uma mquina muito mais difcil do que atac-la em uma rede.
Um modelo de segurana de host pode ser apropriado a locais pequenos, ou
locais com exigncias de segurana extremas.

2.6.1.4. Segurana de Rede

Na medida em que os ambientes crescem e se diversificam, e na medida em que


a segurana host a host se torna mais complexa, cresce o uso do modelo de segurana
de rede. Com um modelo de segurana de rede, o controle do acesso de rede
concentrado em seus vrios hosts e os servios que eles oferecem, em lugar de fazlos um por um. A abordagem de segurana de rede inclui Firewalls para proteger os
sistemas internos e redes, usando um sistema de autenticao forte e encriptao para

14

www.projetoderedes.kit.net

proteger dados particularmente sensveis que transitam na rede. Assim, um local pode
obter um tremendo reforo de segurana usando um modelo de segurana de rede.

2.6.1.5. Nenhum modelo de segurana pode fazer tudo

Nenhum modelo de segurana pode resolver todos os problemas. Para burlar um


host seguro ou um bom modelo de segurana de rede, um indivduo pode
simplesmente usar mtodos fsicos. Estes podem ser at derramar refrigerante em seus
teclados, com o intuito de impossibilitar a continuidade de seus afazeres no local de
trabalho e poder levar documentos de alta confidencialidade para casa.
Nenhum modelo de segurana pode cuidar dos problemas de gerenciamento. A
segurana dos computadores no impedir as pessoas de desperdiarem tempo ou
chatearem uns aos outros.
Nenhum modelo de segurana prov proteo perfeita. Pode-se fazer com que
as invases sejam raras, breves, e com baixo nus, mas no se pode esperar evit-las
completamente. At mesmo os locais mais seguros e dedicados esperam ter um
incidente de segurana em determinado momento.
A segurana pode no prevenir todos os incidentes, mas pode impedir que um
incidente danifique seriamente ou deixe fora de operao determinado sistema.

2.6.2. Princpios aplicveis segurana de redes conectadas Internet


2.6.2.1. Menos privilgio

Talvez, o princpio mais fundamental de segurana o de menos privilgio.


Basicamente, o princpio de menos privilgio diz que um objeto (usurio, administrados,
programa ou mesmo sistema) deveria ter apenas os privilgios necessrios para que
este possa realizar suas tarefas. Menos privilgio um princpio importante na limitao
da exposio de sistemas contra ataques, e para limitar o estrago causado por formas
particulares de ataques.
No contexto de Internet, existem vrios exemplos de restrio de privilgio.
Provavelmente:
15

www.projetoderedes.kit.net

Todo usurio no precisa acessar todos os servios de Internet existentes;

Todo usurio no precisa modificar todos os arquivos em seu sistema;

Todo usurio no precisa saber a senha de root (administrador) da mquina.

Todo administrador de sistema no precisa conhecer as senhas de root de


todos os sistemas;

Todo sistema no precisa acessar todos os arquivos de todo outro sistema.

A aplicao do princpio de menos privilgio sugere que se deva explorar modos


para reduzir os privilgios requeridos para vrias operaes. Por exemplo:

No dar para um usurio a senha de root para um sistema se tudo que este
usurio precisa fazer reiniciar a impressora;

No confiar ao Firewall a tarefa de fazer backups em outras mquinas. Ao


invs disso, colocar um dispositivo de backup no prprio Firewall para que
este possa executar seus prprios backups.

Muitas das solues empregadas na proteo dos sistemas so tticas da


estratgia de menos privilgio. Por exemplo, um sistema de filtragem de pacotes
(Packet Filtering) projetado para permitir os pacotes dos servios que se deseja
garantir acesso.
Existem dois problemas na tentativa de gerar menos privilgio. Primeiro, pode
ser complexo implementar quando esta no uma caracterstica j existente dos
programas e protocolos em uso (no caso do Windows). A tentativa de implementar este
recurso pode ser muito complicada. Outro problema ocasionado em funo da
possibilidade de se implementar algo que gera um nvel de privilgio menor do que o
necessrio.

2.6.2.2. Ponto de Convergncia

16

www.projetoderedes.kit.net

Um ponto de convergncia (choke point) fora os invasores a usar um canal


estreito que se pode monitorar e controlar. Em segurana de rede, o Firewall entre
determinado sistema e a Internet (assumindo que a nica conexo entre este local e a
Internet) um ponto de convergncia. Qualquer um que tente atacar este local a partir
da Internet vai ter que passar por aquele canal supostamente protegido. Porm, um
ponto de convergncia intil se houver um modo efetivo para um invasor sobrepuj-lo.

2.6.2.3. Link mais fraco

Uma doutrina fundamental de segurana que uma cadeia to forte quanto


sua ligao mais fraca e uma parede to forte quanto seu ponto mais fraco. Invasores
inteligentes vo procurar aquele ponto fraco e concentrar suas atenes nele. Deve-se
estar atento aos pontos fracos da defesa do sistema de forma que se possa tomar as
medidas para elimin-los, e de forma que se possa monitorar os pontos vulnerveis que
no se pode eliminar.
Sempre haver um link mais fraco, porm, a idia fazer aquela ligao forte o
bastante e manter a fora proporcional ao risco. Por exemplo, razovel ter mais
preocupao com tentativas de invaso externas pela rede do que com problemas de
ataque fsico esta. Desta forma, pode-se permitir que a segurana fsica seja a
ligao mais fraca. Porm, no razovel negligenciar a segurana fsica
completamente.
Modelos de segurana de host sofrem de uma peculiaridade no que diz respeito
relao entre ligao mais fraca e ponto de convergncia. Neste modelo no h
nenhum ponto de convergncia, o que significa que existem vrios links a este host, e
algum deles podem ser realmente fraco.

2.6.2.4. Participao de todos

Para ser completamente efetivo, a maioria sistemas de segurana requerem a


participao universal (ou pelo menos a ausncia de oposio ativa) do pessoal local.
Se algum optar por no utilizar os mecanismos de segurana implantados, ento um
17

www.projetoderedes.kit.net

invasor pode primeiramente atacar o sistema daquela pessoa isenta de segurana e


aps invadi-lo, direcionar o seu foco para o restante da rede.
Deve-se solicitar a todos que reportem problemas de segurana que porventura
estejam ocorrendo, no se pode ver tudo. necessrio que as pessoas escolham
senhas fortes, mudem-nas com regularidade e no as distribuam para seus amigos ou
mesmo parentes.
A participao de todos deve ser voluntria ou involuntria, ou at uma
combinao das duas. Obviamente, participao voluntria prefervel involuntria.

2.6.2.5. Simplicidade

Simplicidade uma estratgia de segurana por duas razes. Primeiramente,


manter as coisas mais simples as torna mais fceis de se entender. Se algo no
compreendido, no se pode realmente saber se o mesmo ou no seguro. Segundo,
complexidade prov todo tipo de condies para que coisas fora de conhecimento
estejam ocultadas. mais fcil fazer a segurana de um quarto e sala do que de uma
manso.
Programas complexos tem mais bugs, sendo que cada um deles pode constituir
um problema de segurana. Mesmo que os bugs no constituam um problema de
segurana, uma vez que as pessoas esperem um funcionamento anormal do
computador, elas iro aceitar qualquer comportamento deste, o que anula qualquer
possibilidade de se reconhecer e reportar problemas de segurana quando estes
surgirem.

2.7.

Concluso

Neste captulo, so relatadas as mais diversas formas de segurana de redes.


feita uma abordagem sobre suas necessidades, avaliao dos seus riscos e so
evidenciados os modelos de proteo que podem ser implementados. Alm disso, so
abordados modelos de proteo e os princpios de segurana de uma rede conectada
Internet.
18

www.projetoderedes.kit.net

Captulo 3 - Firewalls
Em construes, uma parede de fogo tem como funo impossibilitar o fogo de
passar de uma parte da construo para outra. Em teoria, um Firewall de Internet serve
a um propsito similar: Ele previne possveis perigos originados da Internet de
passarem para a rede interna. Na prtica, um Firewall de Internet mais como um
fosso de um castelo medieval em um prdio moderno. Ele serve a mltiplos propsitos:

Restringe a entrada de dados utilizando um ponto de acesso controlado.

Evita que os invasores cheguem perto dos sistemas em questo.

Restringe a sada de dados utilizando um ponto de acesso controlado.

Um Firewall de Internet mais freqentemente instalado no ponto de proteo


da rede interna Internet, conforme figura 3.1

Figura 3.1: Um Firewall geralmente separa a rede interna da Internet

Todo o trfego originrio da Internet, ou indo para esta, passa atravs do


Firewall. Desta forma, o Firewall tem a oportunidade de garantir que este trfego seja
aceitvel.
Para o Firewall, aceitvel quer dizer que, aquilo que esteja sendo feito: e-mail,
transferncia de arquivos, login remoto ou qualquer outro tipo de interaes especficas
19

www.projetoderedes.kit.net

entre sistemas est em conformidade com a poltica de segurana do Firewall. Polticas


de segurana so diferentes para cada localidade, algumas so altamente restritivas,
porm, outras so altamente abertas.
De maneira lgica, o Firewall um separador, um mecanismo de restrio, um
analisador. A implementao fsica do Firewall varia de local para local. Mais
freqentemente, um Firewall um conjunto de componentes de hardware: um roteador,
um host ou uma combinao de roteadores, computadores e redes com o software
apropriado. Existem vrias formas de configur-lo; a configurao depender da poltica
local de segurana e dos servios utilizados.
Tal como um fosso de um castelo medieval, o Firewall no invulnervel. Este
pode ter vulnerabilidade e limitaes na proteo que oferece. O Firewall trabalha
melhor se em conjunto com outras defesas internas. Um Firewall tambm tem suas
desvantagens, durante sua implementao, os momentos de ajustes de permisso de
acesso causam

momentos onde a comunicao com a rede externa pode ficar

inoperante, fato este que causa aborrecimentos aos usurios.


Mesmo com as limitaes e desvantagens dos Firewalls, sua implementao se
faz necessria, pois este o modo mais efetivo para conectar uma rede Internet e
ainda proteger aquela rede. A Internet apresenta oportunidades maravilhosas. Milhes
de pessoas trocam informao nesta. Os benefcios so bvios: existem chances para
publicidade, atendimento ao consumidor e troca de informaes. A popularidade da
estrada da informao mundial est aumentando, assim como o desejo de acesso
seguro. Os riscos tambm so bvios: A existir a possibilidade de se comunicar com
milhes de pessoas, tambm existe a possibilidade de ser vtima. Qualquer rodovia
expressa s divertida enquanto se est dentro do carro. Ter que andar ou trabalhar na
rodovia, pode ser perigoso.

3.1.

Possibilidades de uso de Firewalls

Firewalls podem fazer muito para a segurana de uma rede conectada Internet.
De fato, algumas vantagens do uso de Firewalls vo alm da segurana.
20

www.projetoderedes.kit.net

3.1.1. O Firewall o foco para decises de segurana

O Firewall como um ponto de convergncia. Todo o trfego interno e externo


tem que atravessar este posto de fiscalizao. Um Firewall d um grande salto na
segurana de rede porque concentra as medidas de segurana neste posto de
fiscalizao: o ponto onde a rede se conecta Internet.

3.1.2. O Firewall pode reforar a poltica de segurana


Muitos dos servios que as pessoas querem da Internet so inerentemente
inseguros. O Firewall quem policia o trfego destes servios. Ele refora a poltica de
segurana do local, permitindo que apenas os servios "com aprovao" possam
passar de fora para dentro e vice-versa.
Um Firewall pode ser utilizado para auxiliar polticas mais complicadas. Por
exemplo, apenas alguns sistemas dentro do Firewall podem transferir arquivos para e
da Internet. Assim, usando outros mecanismos para controlar quais usurios tm
acesso a esses sistemas, pode-se controlar quais usurios tm estas capacidades.
Dependendo das tecnologias usadas na implementao do Firewall, este pode
reforar mais ou menos as polticas de segurana vigentes.

3.1.3. O Firewall pode fazer o log eficiente das atividades da Internet


Em funo de todo trfego passar pelo Firewall, este corresponde a um bom
ponto de coleta de informaes de trfego para dentro e fora da rede protegida. Sendo
um ponto de acesso nico, o Firewall pode registrar aquilo que ocorre entre a rede
interna e a rede externa.

21

www.projetoderedes.kit.net

3.1.4. O Firewall limita a exposio


s vezes, um Firewall ser usado para manter uma seo da rede local
separada de outra seo. Fazendo isto, problemas que ocorrem em uma seo ficam
restritos esta, diminuindo a possibilidade de contaminao de outras sees. Em
alguns casos, isto feito porque uma seo exige mais segurana que outra, em outros
casos, porque uma seo precisa ser mais acessada que outra. Qualquer que seja a
razo, a existncia do Firewall limita o dano que um problema de segurana de rede
pode causar a toda a rede.

3.2.

Limitaes de uso de Firewalls

Firewalls oferecem grande proteo contra ameaas de rede, mas eles no so


uma soluo de segurana completa. Certas ameaas esto fora do controle dos
Firewalls. Deve-se conhecer outras formas de proteo contra estas ameaas, tais
como: incorporao de segurana fsica, segurana de host e educao de usurio no
plano de segurana global.

3.2.1. O Firewall no pode proteger contra usurios internos mal-intencionados


Um Firewall deve impossibilitar um usurio de sistema de enviar informao
restrita de uma organizao pela conexo de rede, o que feito pelas regras de
restrio de trfego. Mas aquele mesmo usurio poderia copiar os dados em disco, fita,
ou papel e poderia levar isto para fora do edifcio dentro de sua pasta.
Se o invasor j est dentro da rede interna, no h muito o que o Firewall possa
fazer. Usurios internos podem roubar dados, causar dano em hardware e software, e
sutilmente modificar programas sem ter que chegar sequer perto do Firewall. Ameaas
internas requerem segurana interna de rede, como segurana de host e educao de
usurio.

22

www.projetoderedes.kit.net

3.2.2. O Firewall no pode proteger contra conexes que no passam por ele
Um Firewall pode controlar o trfego que passa por ele, porm, no h nada que
um Firewall possa fazer sobre trfego que no passa por ele. Por exemplo, caso seja
permitido um acesso discado em sistemas internos rede externa, o Firewall no tem
como impedir uma invaso atravs desta conexo discada.

3.2.3. O Firewall no pode proteger contra ameaas novas


Um Firewall projetado para garantir segurana contra ameaas conhecidas.
Um modelo bem projetado tambm pode proteger contra algumas ameaas novas.
Porm, nenhum Firewall pode defender automaticamente contra toda ameaa nova que
surge. Periodicamente as pessoas descobrem modos novos para atacar, usando
servios previamente confiveis, ou usando ataques que simplesmente no haviam
ocorrido a ningum. No se pode montar um Firewall uma vez, e esperar que ele
proteja para sempre.

3.2.4. Um Firewall no pode proteger contra vrus


Embora muitos Firewalls faam o scan de todo o trfego entrante para
determinar se este pode passar para a rede interna, o scan destinado principalmente
aos endereos fonte e destino, bem como o protocolo utilizado, e no para os detalhes
dos dados. At mesmo com filtragem de pacote sofisticada ou software de proxying, a
proteo de vrus em um Firewall no muito prtica. H muitos tipos de vrus e muitos
modos que um vrus pode se esconder dentro de dados.
Detectar um vrus em um pacote aleatrio de informaes que passa pelo
Firewall muito complexo, este requer:

Reconhecer que este pacote parte de um programa;

Determinar como o programa deveria parecer;

Determinar que as mudanas ocorrem em funo de vrus.


23

www.projetoderedes.kit.net

At mesmo o primeiro destes um desafio. A maioria dos Firewalls est


protegendo mquinas de vrios tipos com formatos de arquivos executveis diferentes.
Um programa pode ser um executvel compilado ou um script. Alm disso, a maioria
dos programas empacotado para transporte, e esto freqentemente comprimidos.
Por estas razes, usurios podem acabar trazendo vrus para a rede interna, no
importando o nvel de segurana do Firewall. Mesmo que fosse possvel implementar
um Firewall que pudesse bloquear a entrada de vrus, o problema de vrus ainda no
teria sido solucionado. Arquivos trazidos ao computador atravs de conexes discadas
ou mesmo atravs de disquetes ainda seriam uma ameaa.
A maneira mais prtica de lidar com o problema de vrus a proteo baseada
em host, com controle centralizado em um servidor antivrus. Outra medida de igual
importncia o treinamento do usurio em conscientizao sobre as questes de
segurana. De uma forma geral o Firewall atua sobre os aspectos de protocolo do
trfego (inspeo de cabealho) mas no tem mecanismos para lidar com a informao
que carregado pelo trfego.

3.3.

Packet Filtering (Filtragem de Pacotes)

Como um primeiro passo ao se implementar um Firewall em uma rede de


computadores, fundamental que se conhea os detalhes dos protocolos de
comunicao utilizados. Na Internet, a ateno deve ser voltada aos protocolos IP,
TCP, ICMP e UDP. Estes so os principais protocolos a nvel de rede e transporte
(Modelo OSI) que so considerados e examinados ao se estabelecer regras de
filtragem em um packet filter para a Internet. Este mecanismo de filtragem a nvel de
roteador possibilita que se controle o tipo de trfego de rede que pode existir em
qualquer segmento de rede; consequentemente, pode-se controlar o tipo de servios
que podem existir no segmento de rede. Servios que comprometem a segurana da
rede podem, portanto, ser restringidos.
Com o exposto acima, fica evidente que um packet filter no se encarrega de
examinar nenhum protocolo de nvel superior ao nvel de transporte, como por exemplo
24

www.projetoderedes.kit.net

o nvel de aplicao que fica como tarefa dos application gateways (proxy servers).
Portanto, qualquer falha de segurana a nvel de aplicao no pode ser evitada
utilizando somente um packet filter.
O componente que realiza a filtragem de pacotes geralmente um roteador
dedicado, mas tambm pode ser um host de uso geral configurado como roteador, e
recebe a denominao de screening router (figura 3.1.). H ferramentas freeware
disponveis na Internet para se configurar um simples PC como um roteador com
recursos de filtragem de pacotes, consistindo em uma alternativa de baixo custo. A
parte prtica deste trabalho, no Captulo 5 descreve exatamente isto. Deve-se ressaltar
que o processo de filtragem de pacotes acarreta num overhead ao sistema; portanto,
para uma situao de alto trfego necessrio que se utilize um roteador com uma
velocidade de processamento compatvel com as necessidades.

Figura 3.2: Atuao de um Screening Router

Frisando que a filtragem dos pacotes no considera protocolos acima do nvel de


transporte, no tomada nenhuma deciso baseada no contedo dos pacotes; ou seja,
nos dados dos pacotes propriamente ditos. A filtragem que a maioria dos screening
routers realizam so baseadas nas seguintes informaes:

Endereo IP fonte;
25

www.projetoderedes.kit.net

Endereo IP destino;

Protocolo: Se o pacote TCP, UDP ou ICMP;

Portas TCP ou UDP fontes;

Portas TCP ou UDP destino;

Tipo de mensagem ICMP (se for o caso).

No protocolo TCP existe um flag denominado ACK que utilizado para


confirmao de pacotes e tambm pode ser utilizado para detectar se o pacote o
primeiro de uma solicitao de conexo. Quando o flag no estiver setado significa que
o pacote se refere a uma solicitao de conexo e, caso contrrio, o pacote
corresponde a alguma conexo j existente (Figura 3.3.). Desta forma, o packet filter
pode bloquear um servio inbound (de fora para dentro; ou seja, o servidor est na rede
interna) apenas no permitindo o fluxo de pacotes com o ACK setado destinado a um
servidor interno associado a port (por exemplo, a port 23 do telnet) do servio
bloqueado. Em protocolos no orientados a conexo, por exemplo o protocolo UDP,
no possvel tomar nenhuma deciso deste tipo; ou seja, nestes protocolos, nunca se
sabe se o pacote que est chegando o primeiro que o servidor est recebendo. Para
fazer uma filtragem correta dos pacotes, importante saber se o protocolo
bidirecional (pacotes fluem nos dois sentidos, cliente para servidor e vice-versa) ou
unidirecional. No se pode confundir servios inbound (a rede interna provendo algum
servio) e servios outbound (o cliente est na rede interna e o servidor na Internet)
com pacotes inbound (pacotes que chegam na rede interna) e pacotes outbound
(pacotes que saem da rede interna); ou seja, ambos os servios apresentam pacotes
inbound e outbound caso o protocolo seja bidirecional.

26

www.projetoderedes.kit.net

Figura 3.3: bit ACK no protocolo TCP

importante que o roteador tenha facilidades de filtragem por interfaces de rede.


Ou seja, todas as interfaces disponveis no roteador so submetidas s regras de
filtragem, possibilitando que as regras sejam aplicadas considerando as seguintes
informaes:

A interface na qual o pacote chega;

A interface pela qual o pacote sai.

O IP Spoofing (Figura 3.4.) um ataque que pode ser evitado com a aplicao
do recurso exposto acima. Neste ataque o intruso tenta se passar como um host interno
(um host considerado confivel) utilizando o endereo IP deste como o endereo de
origem. Se a filtragem realizada por interface em ambos os sentidos, este ataque no
funciona porque jamais um pacote pode chegar do mundo externo (Internet) tendo
como endereo fonte o endereo de uma mquina que est na rede interna; ou seja, s
poderia chegar naquela interface no outro sentido.
27

www.projetoderedes.kit.net

Figura 3.4: Ataque do tipo IP spoofing

Eis alguns exemplos de regras de filtragem que poderiam ser aplicadas em um


screening router:

Bloquear todas as solicitaes de conexo de hosts da rede externa com


a sub-rede "X.X.8" (conectada em alguma interface do roteador), exceto
conexes SMTP (Porta TCP nmero 25);

Bloquear todas as conexes para e de certos sites considerados no


confiveis;

Desabilitar source routing (roteamento de e para a mquina destino


especificado no prprio pacote);

Bloquear os servios considerados inseguros tais como Xwindows, RPC,


NFS, TFTP, SNMP, NIS, etc.

A sintaxe dessas regras de filtragem depende do produto (roteador ou Firewall)


utilizado, porque atualmente no existe um padro de sintaxe. aconselhvel montar

28

www.projetoderedes.kit.net

uma tabela com as possibilidades de pacotes para cada servio a ser provido. Veja um
exemplo na TABELA 3.1 [15].

Tabela 3.1: Esquematizao de Regras de filtragem (protocolo DNS).

Descrio dos campos da tabela:

29

www.projetoderedes.kit.net

Direction: a direo do pacote (in: entrando no roteador; out: saindo do


roteador);

Source address: o endereo fonte;

Destination address: o endereo destino;

Protocol: o protocolo utilizado;

Source port: a porta fonte;

Destination port: a porta destino;

ACK set: indica se o flag ACK est setado;

Notes: apresenta um breve comentrio sobre a regra.

3.3.1. Operaes de um Packet Filter


Quase todos os dispositivos atuais de filtragem de pacotes operam da seguinte
maneira [1]:

1. Os critrios de filtragem de pacotes devem ser armazenados para as


portas do dispositivo de filtragem de pacotes. Os critrios de filtragem de
pacotes so chamados regras de filtragem de pacotes.
2. Quando o pacote chega em uma porta, os cabealhos do pacote so
analizados. Muitos dispositivos examinam os campos somente nos
cabealhos dos protocolos IP, TCP ou UDP.
3. As regras de filtragem so armazenadas em uma ordem especfica. Cada
regra aplicada ao pacote na ordem em que as regras esto
armazenadas.
4. Se uma regra bloqueia a transmisso ou recepo do pacote, o pacote
bloqueado.
5. Se uma regra permite a transmisso ou recepo do pacote, o pacote
aceito para prosseguir.
6. Se um pacote no satisfaz qualquer regra ele bloqueado.

30

www.projetoderedes.kit.net

Pelas regras 4 e 5 fica evidente que a ordem das regras de filtragem de


fundamental importncia. Uma ordenao incorreta das regras pode acarretar em
bloqueio de servios vlidos e em permisso de servios que deveriam ser negados. Da
regra 6 segue a filosofia "O que no expressamente permitido proibido".

3.3.2. Vantagens e Desvantagens


Algumas vantagens dos packet filters so:

Pode ajudar a proteger toda uma rede, principalmente se este o nico


roteador que conecta a rede interna Internet;

A filtragem de pacotes transparente e no requer conhecimento nem


cooperao dos usurios;

Est disponvel em muitos roteadores e/ou produtos especficos.

Algumas desvantagens so:

As ferramentas de filtragem atualmente disponveis no so perfeitas;

Alguns protocolos no so bem adaptados para a filtragem;

Algumas polticas no podem ser aplicadas somente com a filtragem de


pacotes.

Quando se aplica alguma restrio em algum protocolo de mais alto nvel,


atravs de nmeros de portas, espera-se que nada alm do prprio servio esteja
associado quela porta; entretanto, usurios internos mal intencionados podem
subverter este tipo de controle colocando outro programa (desenvolvido por ele)
associado a essa porta. Como citado anteriormente, um Firewall no apropriado para
se defender de ameaas internas.

31

www.projetoderedes.kit.net

3.3.3. Aes do Screening Router


O roteador encarregado da filtragem dos pacotes pode executar uma srie de
atividades que servem, entre outras coisas, para monitorar o sistema. Algumas
atividades so:

Realizar logs de acordo com a

configurao

especificada pelo

administrador. Dessa forma, possvel analisar eventuais tentativas de


ataque, bem como verificar a correta operao do sistema;

Retorno de mensagens de erros ICMP: caso um pacote seja barrado


existe a possibilidade de se enviar ao endereo fonte alguma mensagem
com o cdigo de erro ICMP do tipo host unreachable ou host
administratively unreachable. Entretanto, tais mensagens, alm de causar
um overhead, podem fornecer algumas informaes sobre o packet filter
ao atacante, pois dessa forma ele poderia descobrir quais os protocolos
que so barrados e quais esto disponveis; portanto, recomenda-se que
no se retorne nenhum cdigo ICMP de erro para hosts na rede externa.

3.3.4. Riscos na filtragem


A filtragem por endereo fonte apresenta alguns riscos. H dois tipos de ataques
possveis:

Source address: o atacante forja o endereo fonte utilizando o endereo


de uma mquina (externa ou interna) considerada confivel (trusted) pelo
Firewall (Figura 3.3.). Este ataque pode ter sucesso principalmente
quando o atacante no precisa capturar (ou seja, estar em um caminho
entre o Firewall e o host forjado) nenhum pacote e, caso a mquina
forjada seja interna, no houver mecanismos de filtragem que impeam o
ip spoofing (citado anteriormente); a resposta ao ataque poderia ser o

32

www.projetoderedes.kit.net

envio de alguma informao (por exemplo o arquivo passwd) via e-mail


diretamente ao atacante;

Man in the middle: alm de forjar o endereo, nesse ataque o atacante


deve estar no caminho entre o Firewall e o host confivel porque ele tem
de capturar os pacotes que so, na realidade, enviados ao host confivel
(da a denominao do ataque).

Muitos desses ataques s funcionam quando o host confivel (aquele cujo


endereo utilizado pelo atacante) estiver fora de operao, porque assim que ele
receber algum pacote que no esteja relacionado com nenhuma conexo que ele tenha
iniciado ele solicitar que a conexo forjada seja encerrada. Existem vrias formas de
se evitar que o host confivel tome conhecimento da conexo forjada pelo atacante, eis
alguns mtodos:

Confundindo o roteamento entre a mquina real (host confivel) e a


mquina alvo;

Utilizando um ataque onde somente a primeira resposta requerida, de tal


forma que o reset solicitado pela mquina real no importar;

Inundando a mquina real com pacotes lixo (por exemplo, pacotes ICMP)
enquanto o ataque ocorre, de forma que a mquina real ficar ocupada
tentando processar os pacotes lixo que ela recebe;

Utilizando source routing.

A filtragem baseada na porta de origem apresenta um problema semelhante


quele da filtragem pelo endereo fonte. Assume-se que a uma determinada port um
determinado servio esteja associado, mas nada impede (como citado anteriormente)
que algum com os devidos direitos (por exemplo, root no Unix) substitua o servidor por
outro. Para evitar este tipo de ataque, deve-se garantir que o servidor seja confivel e
execute somente o permitido; impedindo, de outra forma, que o cliente devidamente
modificado possa solicitar alguma facilidade que comprometa o servidor. Portanto,

33

www.projetoderedes.kit.net

fundamental que tanto o servidor como tambm os clientes utilizados no sejam


passveis de serem alterados indevidamente por pessoas mal intencionadas.

3.3.5. Caractersticas desejveis em um screening router


Eis algumas caractersticas altamente desejveis a fim de que se possa realizar
uma filtragem de pacotes bem apurada:

Ter uma boa performance na filtragem dos pacotes: um overhead


aceitvel de acordo com as necessidades;

Pode ser um roteador dedicado ou um computador de propsito geral


executando algum sistema de roteamento;

Permitir uma especificao de regras de forma simples;

Permitir regras baseadas em qualquer cabealho ou critrio meta-packet


(por exemplo, em qual interface o pacote chegou ou est saindo);

Aplicar as regras na ordem especificada;

Aplicar as regras separadamente para pacotes que chegam e partem em


e de cada interface de rede;

3.4.

Registrar informaes sobre pacotes aceitos e rejeitados;

Ter capacidade de teste e validao.

Concluso

Neste captulo demonstrou-se a utilizao do Firewall em suas mais


diversificadas aplicaes. Abordou-se ainda uma srie de recursos, deficincias e
limitaes, bem como caractersticas que podem ser encontradas em qualquer sistema
de segurana. Mais adiante verifica-se a utilizao do Packet Filtering, seu
comportamento diante do recebimento e envio dos pacotes, vantagens, desvantagens e
riscos.

34

www.projetoderedes.kit.net

Captulo 4 Desenvolvimento dos Procedimentos de


Segurana
O modelo adotado para os procedimentos de segurana foi desenvolvido em trs
fases. A primeira consistiu da aplicao de um questionrio, junto ao pessoal do
Laboratrio de Bioinformtica, de um questionrio, com o objetivo de fazer uma
avaliao preliminar. O questionrio foi baseado no modelo encontrado no captulo 46
do livro Computer Security Handbook [10].
A segunda fase consistiu na descrio da situao atual do Laboratrio de
Bioinformtica, baseada nos dados obtidos da avaliao preliminar tendo sido feita uma
descrio dos equipamentos existentes no Laboratrio de Bioinformtica. Alguns dados
referentes ao Laboratrio de Biologia Molecular (BIOMOL), o qual engloba o
Laboratrio de Bioinformtica (BIOINFO), foram tambm levantados, pois constituem
informaes relevantes para a o desenvolvimento do modelo de segurana deste
ltimo.
A terceira fase corresponde aos procedimentos desenvolvidos a partir dos dados
coletados e das demandas existentes na Bioinformtica. Apesar de alguns dos
procedimentos j estarem em vigor no momento de sua descrio nesta fase, fica
importante sua citao para que futuros administradores de rede e usurios possam
saber dos procedimentos existentes e tambm daqueles cuja implementao se faz
necessria.
O desenvolvimento dos procedimentos foi baseado em dois modelos existentes:

RFC2196 (Site Security Handbook) [ 3];

IT Baseline Protection Manual [4];

Estes dois modelos foram adotados como base por duas razes. Primeiro porque
so

modelos

abrangentes,

possuindo

arcabouo

terico

para

auxiliar

desenvolvimento dos procedimentos necessrios. Segundo porque so gratuitos,


diferentemente do ISO (Information Security Officers Manual) [2], que apesar de ser
abrangente e detalhado, deve ser adquirido.
35

www.projetoderedes.kit.net

4.1.

Avaliao Preliminar (Fase I)

A meta da avaliao preliminar perguntar s pessoas que trabalham com os


recursos de informao, atravs de um questionrio individual (anexo 1), o que elas
acreditam ser suas maiores necessidades de segurana. Mesmo que elas no tenham
o nvel de conscincia em segurana esperado, na prtica os usurios tm intuies
valiosas que transcendem a teoria e as generalizaes.
Os seguintes assuntos devem fazer parte do estudo preliminar ( sua abrangncia
est descrita entre parnteses):

Introduo ao estudo;

Estado da poltica atual (BIOMOL e BIOINFO);

Classificao de Dados (BIOINFO);

Sistemas Sensveis (BIOINFO);

Sistemas Crticos (BIOINFO);

Autenticidade (BIOINFO);

Exposio (BIOINFO);

Recursos humanos, gerenciamento e cuidados com a segurana dos


empregados (BIOMOL e BIOINFO);

Segurana Fsica (BIOMOL e BIOINFO);

Segurana das operaes com computadores (BIOINFO);

Controle de acesso a dados (BIOINFO);

Segurana da rede e comunicaes (BIOINFO);

Medidas Antivrus (BIOMOL e BIOINFO);

Backups, arquivos e destruio de dados (BIOINFO);

As respostas ao questionrio encontram-se no anexo 4.

36

www.projetoderedes.kit.net

4.2.

Descrio da situao atual (Fase II)

Esta fase tem como objetivo fazer uma descrio do panorama atual dentro do
Laboratrio de Bioinformtica (BIOINFO), no que diz respeito a cada um dos tpicos do
questionrio aplicados aos seus usurios, alm de uma descrio dos equipamentos
existentes. Existem tpicos cuja descrio tambm estar relacionada ao Laboratrio
de Biologia Molecular.

4.2.1. Estado da poltica atual

Em funo das respostas dos questionrios aplicados (anexo 4), pode-se


constatar que o Laboratrio de Biologia Molecular da UnB (BIOMOL) no possua
nenhuma poltica de segurana em funcionamento. Sendo assim, no havia
disponibilidade de acesso a esta por meio de documentos, nem tampouco ningum era
responsvel por mant-las. Em termos de chefia, o pessoal da coordenao do
BIOINFO so subordinados ao Professor Marcelo Brgido.
Quanto ao monitoramento dos padres de uso do BIOINFO, estes so
monitorados por conta de cada indivduo que usa o local, ou seja, no existe nenhuma
pessoa responsvel pelo controle do uso do laboratrio.

4.2.2. Classificao de Dados

Quanto classificao dos dados em nveis de segurana, esta classificao


existe em nvel informal, ou seja, existem dados que devem possuir maior segurana,
como o caso das seqncias de dados enviados por outros pesquisadores, porm
no existe nenhuma regra nem documentos explicitando o nvel de confidencialidade de
cada informao tratada.
Em geral, os entrevistados acreditam ser importante classificar os dados em
nveis de segurana, pois os dados referentes ao trabalho de pesquisa requerem alta
confidencialidade.
37

www.projetoderedes.kit.net

No momento, esta classificao informal existe por demanda, ou seja, os dados


so classificados como de alta confidencialidade ou no em funo do andamento do
projeto.

4.2.3. Sistemas Sensveis

Os entrevistados esto conscientes da necessidade de proteo contra


revelao no autorizada de informaes, documentos ou sistemas existentes no
laboratrio.
A proteo das informaes sensveis por parte dos usurios feita atravs de
login com senha. No caso de outra pessoa do laboratrio querer lidar com informaes
sensveis de maneira annima, a forma possvel seria utilizando outra senha de
usurio. Outra maneira possvel seria conhecendo o endereo completo da pgina Web
desejada, pois no existe verificao de sesso.
Quanto revelao de informaes sensveis do laboratrio (BIOINFO), os
entrevistados afirmaram que no conheciam a ocorrncia deste fato. Porm, relataram
que j ocorreram eventos desta natureza em outro laboratrio, demonstrando
preocupao quanto possibilidade de ocorrer este evento no laboratrio. Os eventos
ocorridos previamente no laboratrio foram problemas com vrus e invaso de servidor
Web.
No que se refere s sugestes dos entrevistados, pode-se ressaltar o
desenvolvimento de um sistema de autenticao via Web, para que os acessos s
pginas sensveis ocorresse com verificao de sesso. Outra sugesto foi a
implementao da segurana do SGBD, para filtrar o acesso ao banco de dados.

4.2.4. Sistemas Crticos

Sobre as informaes que necessitam de ateno especial quanto


disponibilidade e exatido, constatou-se que as informaes contidas no banco de
dados devem ser protegidas quanto destruio ou modificao no autorizada.

38

www.projetoderedes.kit.net

A precauo dos entrevistados quanto guarda de informaes crticas do


laboratrio corresponde restrio de login dos usurios.

4.2.5. Autenticidade

No BIOINFO, os entrevistados no identificaram nenhum caso de uso de outra


identidade para envio de e-mail, faxes ou cartas. Pode-se constatar tambm a
inexistncia de assinatura digital.
Quanto ao uso de cpias de sistemas proprietrios, verificou-se o uso destas,
sendo que os entrevistados no demonstraram haver problema nisso. Como
justificativa, foi identificada a necessidade de uso de ferramentas de software utilizadas
em determinado sistema proprietrio.

4.2.6. Exposio

Segundo os entrevistados, entre as piores conseqncias que poderiam ocorrer


se houvesse a divulgao de dados mais sensveis do laboratrio, pde-se identificar:

Perda da autoria do trabalho;

Outros laboratrios concorrentes poderiam utilizar a informao para saber o


nvel de desenvolvimento da pesquisa ou mesmo utilizar os dados do trabalho
para benefcio prprio;

Desenvolvimento de remdios e monoplio da patente por parte de


laboratrios interessados.

Dentre as piores conseqncias provenientes de alteraes no autorizadas ou


acidentais de informaes crticas, pde-se destacar a inconsistncia dos dados da
pesquisa, que pode levar a perda de todo o trabalho desenvolvido.

4.2.7. Recursos humanos, gerenciamento e cuidados com a segurana do


pessoal
39

www.projetoderedes.kit.net

Os procedimentos de segurana (do BIOMOL e BIOINFO), por existirem apenas


de maneira informal, no podem ser acessados pelos seus membros, sendo que os
usurios nunca assinaram nenhum termo de compromisso ou outro documento
concordando com os procedimentos de segurana do BIOMOL. No existe nenhuma
pessoa responsvel pela monitorao da concordncia com os procedimentos de
segurana, bem como seus membros nunca receberam nenhum treinamento no uso
destes procedimentos. De modo geral, os entrevistados acreditam que seja uma de
suas responsabilidades oficiais a proteo da informao do laboratrio.

4.2.8. Segurana Fsica

Sobre a segurana fsica do BIOMOL, pde-se constatar que a identificao dos


seus membros no feita quando da entrada no recinto (os visitantes tambm no
usam crachs). Os sistemas de controle de acesso aos usurios so portas com tranca,
porm, caso um estranho solicite que um usurio segure a porta a fim de que este
possa entrar tambm, o usurio (por relato dos entrevistados) segura a porta e garante
o acesso ao estranho no recinto. Em perodos onde ningum est no recinto, o
laboratrio permanece com suas portas fechadas.
No caso de um dos usurios do BIOMOL identificar um estranho na rea interna,
nenhum questionamento ou solicitao segurana seria feito. Em caso de alarme de
incndio, os entrevistados responderam que a medida a ser tomada seria trancar o
laboratrio e evacuar a rea. Estes demonstraram desconhecimento quanto
localizao do extintor de incndio mais prximo. Os entrevistados disseram no
possuir nenhum treinamento para enfrentar situaes de emergncia (bem como
evacuao de rea).
Em casos de emergncia mdica ou de segurana, existe um nmero para o
qual os usurios podem discar.
Como medidas de melhoria da segurana fsica do BIOMOL, os entrevistados
apontaram a utilizao de crachs e a instalao de grades internas nos aparelhos de

40

www.projetoderedes.kit.net

ar condicionado, em funo destes, quando retirados, permitirem acesso parte


externa do laboratrio.

4.2.9. Segurana das operaes com computadores

A partir do lanamento de uma nova atualizao do sistema operacional em uso,


o mesmo sinaliza nos computadores do laboratrio (BIOINFO) que o sistema precisa
ser atualizado, bem como envia e-mail ao administrador avisando da atualizao. A
atualizao primeiramente feita em uma mquina, e caso esta esteja funcionando
corretamente aps avaliao, os outros computadores do laboratrio so atualizados. O
relato de problemas, por parte dos usurios, feito de maneira direta com a pessoa
envolvida, no existindo nenhum sistema automatizado para recepo de problemas.
As pessoas externas ao BIOINFO no podem acessar os computadores deste,
sendo a nica possibilidade de acesso a obteno de uma conta de usurio cadastrado
e ativo.
Pessoas contratadas, incluindo tcnicos de reparo, no podem circular pela rea
do BIOINFO sem estarem acompanhados. Da mesma forma, o pessoal da limpeza s
pode acessar esta rea com a presena de algum membro do BIOINFO.
O intervalo de tempo entre a aquisio de um componente do sistema e a
colocao de seu nmero de patrimnio grande, sendo assim possvel que um
monitor seja trocado de estao de trabalho sem que isto seja identificado.
Na rea do laboratrio de Bioinformtica existe um sistema de permanncia de
energia (NO-BREAK, com aproximadamente 30 minutos de autonomia), que no
momento abrange as CPUs, os monitores, o Switch e o dispositivo de backup deste.
Este dispositivo no abrange o ar condicionado. No existem registros dos momentos
onde o sistema ficou fora do ar. Em relatos dos entrevistados, pde-se identificar que
ocorreram dois eventos desta natureza nos ltimos trs meses.
A utilizao de recursos de largura de banda e de sistema no monitorada por
nenhum dispositivo. Somente a utilizao da CPU dos computadores individuais pode
ser monitorada atualmente.

41

www.projetoderedes.kit.net

Dentre as melhorias em segurana de operaes com computadores sugeridas


pelos usurios, pode-se destacar a colocao de nmero de patrimnio nos
equipamentos e a monitorao da rede.

4.2.10. Controle de acesso a dados

Os usurios do BIOINFO necessitam de identificao atravs de login com senha


para acessar o projeto com a qual trabalham, sendo que suas identificaes no so
nem foram compartilhadas com outros usurios.
Existem limitaes quanto permisso de acesso s informaes em funo da
senha. No trabalho, no utilizada nenhuma forma de encriptao de dados.
De acordo com os entrevistados, os usurios no levam trabalho para casa,
porm no existe nenhuma norma que impossibilite ou monitore a forma com que um
membro do laboratrio de Bioinformtica leve trabalho para seu domiclio.

4.2.11. Segurana da rede e comunicaes

De acordo com os entrevistados, no h conhecimento de ningum que viole as


restries de uso do sistema, bem como no do conhecimento destes que algum
veja pornografia dentro do trabalho (infantil ou no), bem como materiais racistas.
No existem diagramas de rede atualizados, porm, existe a possibilidade de
produzi-lo por demanda, segundo o administrador de rede. O administrador de rede
(BIOINFO) tem conhecimento de todos os servios que esto rodando em sistemas
conectados Internet, sendo todos eles necessrios segundo ele.
Sobre a atualizao de patches, o prprio sistema avisa (ao ser inicializado ou
por e-mail) ao administrador da necessidade de aplicao.
Na arquitetura de segurana do sistema, existe um Firewall includo (IPTables,
rodando em Linux RedHat 7.3), o que possui suas regras instanciadas em funo dos
servios que esto sendo executados. O sistema no possui nenhum IDS instalado.
No BIOINFO, a liberao de novas senhas depende de autorizao superior. No
existe controle de acesso remoto centralizado no sistema. Os usurios no aplicam
42

www.projetoderedes.kit.net

assinatura digital s suas comunicaes. Em funo da existncia do Firewall, o


administrador ressaltou que o servidor Web est protegido contra invaso, sendo que a
informao sensvel do sistema encontra-se dentro do servidor Web, e esta no est
encriptada.
Em caso de vandalismo (pichamento de pgina), o tempo de restaurao do
backup do servidor Web fica em 10 minutos, segundo o administrador.
Em caso de demisso de funcionrio ou de suspenso da autorizao do acesso
ao BIOINFO, o administrador s tem conhecimento do fato caso Marcelo Brgido
informe diretamente. No existe nenhuma forma de aviso formal e geral aos usurios do
ocorrido.

4.2.12. Medidas Antivrus

O uso de produtos antivrus em estaes de trabalho do BIOMOL ocorre de


maneira independente, ou seja, cada um fica responsvel pela compra (ou uso de cpia
no autorizada), instalao e manuteno do software de antivrus. Nem todos os
usurios possuem produtos desta natureza, e aqueles que possuem nem sempre esto
com este atualizado. Segundo relatos, problemas com anexos de arquivos infectados
em mensagens so freqentes.

4.2.13. Backups, arquivos e destruio de dados

A freqncia da ocorrncia de backup dos arquivos do sistema feita a critrio


do administrador. No existe uma periodicidade para a realizao do backup, este
feito principalmente quando ocorre alguma modificao importante dentro do sistema.
A mdia de backup armazenada dentro da prpria unidade de backup, sendo
que no existem cpias fora do laboratrio. Como s existe uma mdia de backup, esta
a mdia utilizada em caso de necessidade de restaurao de um arquivo especfico.
Como o backup feito sob demanda de atualizao do sistema, o backup
mantido at que nova atualizao do sistema ocorra e ento substitudo por outro
mais atualizado.
43

www.projetoderedes.kit.net

No existe modo de preveno ao acesso mdia de backup, bem como no h


backup de documentos em papel nem procedimentos de descarte de fitas que
ultrapassaram o ciclo de vida til.

4.2.14. Descrio do Hardware existente no Laboratrio de Bioinformtica

Estaes de trabalho

Dentro da sala de Bioinformtica do laboratrio de Biologia Molecular, esto os


modelos de estaes de trabalho Dell, descritos nas tabelas 4.1 e 4.2.
Item
Processador

Dell Optiplex GX150 SD


Configurao
Intel Pentium III de 1 GHz com chipset 815e

Memria

256 MB SDRAM

Disco rgido

20 GB

Monitor

17

Placa de vdeo

Intel 3D AGP Graphics DVMT

Placa de udio

AC97 integrada

Alto-falantes

Nenhum

Placa de rede

3com 10/100 integrada

Unidade ptica

CD-ROM 48X

Unidade de disquete

3.5 1.44 MB

Gabinete

Desktop

Teclado

QuietKey em portugus (ABNT II)

Mouse

Microsoft Intellimouse com mousepad

Sistema operacional

Microsoft Windows 98 em portugus


(OptiPlex no tem opo do Linux)

Aplicativo

Gerenciador de rede Dell OpenManage

Garantia

3 anos no local e por telefone lifetime

Quantidade de peas

4 computadores

Tabela 4.1: Descrio das estaes de trabalho Dell Optiplex GX150 SD


44

www.projetoderedes.kit.net

Dell Precision 530


Item
Processador

Configurao
Biprocessado (dois processadores com a especificao
abaixo):
Intel Xeon de 1,5 GHz com chipset 860 / FSB 400 MHz
264 KB de memria cache

Memria

512 MB RDRAM PC800

Disco rgido

2 discos de 20 GB EIDE ULTRA ATA-100

Placa de vdeo

4X AGP nVIDIA Quadro 2 EX com 32MB

Monitor

19

Placa de udio

AC97 integrada

Alto-falantes

No solicitados

Placa de rede

3com 10/100 integrada

Unidade ptica 1

CD-RW 16X (no disponvel opo sem CD)

Unidade ptica 2

Iomega Zip 250 MB

Unidade de disquete

3.5 1.44 MB

Gabinete

Torre

Teclado

QuietKey em ingls

Mouse

LogitechClub 3 botes

Sistema operacional

Linux 7.1 Red Hat Service + Sound

Aplicativo

Gerenciador de rede Dell OpenManage

Garantia

3 anos no local e por telefone lifetime

Quantidade de peas

2 computadores

Tabela 4.2: Descrio das estaes de trabalho Dell Precision 530

45

www.projetoderedes.kit.net

Servidores

Dentro do Laboratrio de Bioinformtica, existem os modelos de servidores Dell


descritos nas tabelas 4.3 e 4.4.

Dell PowerEdge 1400SC


Item
Processador

Configurao
1 Processador Pentium III de 1.26GHz com 512KB de
memria cache, expansvel a 2048

Memria

512 MB de memria RAM (2x256)

Disco rgido

01 disco rgido de 36GB SCSI Ultra3 de 10.000 rpm

Monitor

15

Alto-falantes

No solicitados

Placa de rede

2 Placas de rede BROADCOM NetXtreme


10/100/1000 CAT 5

Unidade ptica 1

CD-ROM de 48X

Unidade de disquete

3.5 1.44 MB

Gabinete

Torre

Teclado

QuietKey em ingls

Mouse

Logitech 2 botes

Sistema operacional

Inexistente

Garantia

3 anos no local e por telefone lifetime

Quantidade de peas

1 computador

Tabela 4.3: Descrio do servidor Dell PowerEdge 1400SC

46

www.projetoderedes.kit.net

Dell PowerEdge 6400


Item
Processador

Configurao
4 Processadores Pentium III Xeon de 700MHz com
2MB de memria cache

Memria

2 GB de memria RAM (4x512)

Disco rgido

- 02 discos rgidos de 73GB SCSI Ultra3 de 10.000 rpm


- 02 discos rgidos de 18GB SCSI Ultra3 de 15.000 rpm

Monitor

17

Alto-falantes

No solicitados

Controladora

Controladora de array com 2 canais SCSI Ultra3 e


128MB de memria cache com bateria
1 Placa de rede Intel 10/100 Integrada
2 Placas de rede intel 10/100 PCI Dual Port

Placa de rede
Unidade ptica

- 01 Unidade de CD-ROM de 48x


- 01 Unidade de CD-RW 12X8X32

Unidade de disquete

3.5 1.44 MB

Gabinete

Torre

Teclado

QuietKey em ingls

Mouse

Logitech 2 botes

Sistema operacional

Inexistente

Ventilao

Ventiladores redundantes e hot-pluggable

Energia

Fontes de alimentao redundantes e hot-pluggable

Garantia

3 anos no local e por telefone lifetime

Quantidade de peas

1 computador

Tabela 4.4: Descrio do servidor Dell PowerEdge 6400

47

www.projetoderedes.kit.net

Switch

Extreme Networks Summit 24e2


Especificaes
Backplane no blocante de 8.8 Gbps sobre 6.6 milhes de pacotes por segundo
24 portas Ethernet
2 portas Gigabit Ethernet ativas em duas opes de verses
VLANS 64 IEEE 802.1Q
Agregao de link compatvel com IEEE 802.1ad
Qualidade de servio 802.1p
Gerenciamento local ou remoto (via telnet)
Tabela 4.5: Descrio do Switch Extreme Networks Summit 24e2.

Impressora

Hp Laserjet 2100
Caracterstica

Descrio

Tipo

Impressora Laser

Tecnologia

Eletrosttica, Laser

Resoluo

1200 x 1200 dpi

Compatibilidade

IBM / MAC / UNIC

Velocidade de Impresso

10 ppm

Tamanho mximo de papel

8.5 (216 mm) x 14

Capacidade de papel

250 folhas

Capacidade de memria

4MB (mn) / 52MB (mx)

Temperatura de Operao

10 - 30C

Umidade de Operao

20 80%

Tabela 4.6: Descrio da impressora Hp Laserjet 2100

48

www.projetoderedes.kit.net

4.3.

Procedimentos de Segurana (Fase III)

4.3.1. Introduo

4.3.1.1. Propsito do trabalho

O propsito principal da criao de procedimentos de segurana identificar as


vulnerabilidades de segurana do BIOINFO (ou mesmo BIOMOL, quando se aplicar),
bem como descrever os motivos pelos quais estas vulnerabilidades foram identificadas
e finalmente especificar as medidas necessrias a fim de minimiz-las.

4.3.1.2. A quem se destina

As medidas necessrias minimizao das vulnerabilidades de segurana tem


como alvo os administradores de rede e usurios do BIOINFO, como tambm os
responsveis pela administrao fsica do local (BIOMOL).

4.3.1.3. Como esto distribudos os procedimentos

A partir dos dados obtidos na Fase 2 (Descrio da situao atual), a sua


distribuio dentro dos Procedimentos de Segurana ocorreu da maneira apresentada
na tabela 4.7.

49

www.projetoderedes.kit.net

FASE 2

FASE 3

4.2.2. Classificao de dados

4.3.4.2. Classificao de informao

4.2.3. Sistemas sensveis

4.3.4.3. Sistemas crticos e controle de

4.2.4. Sistemas crticos

acesso a dados

4.2.5. Autenticidade
4.2.6. Exposio
4.2.7.Recursos Humanos,

4.3.4.1. Recursos Humanos,

gerenciamento e cuidados com a

gerenciamento e cuidados com a

segurana do pessoal

segurana do pessoal

4.2.8 Segurana fsica

4.3.3.1. Segurana fsica

4.2.9. Segurana das operaes com 4.3.4.6. Operaes com computadores


Computadores
4.2.11. Segurana de rede e
comunicaes

4.3.2. Comunicaes

4.3.2.1. Firewall
4.3.2.2. IDS
4.3.2.3. Servidor
Web e acesso
remoto

4.2.12. Medidas antivrus

4.3.4.4. Proteo antivrus

4.2.13. Backups, arquivos e

4.3.4.5. Procedimentos de Backup

destruio de dados
Tabela 4.7: Distribuio dos Procedimentos a partir dos dados obtidos na Fase II.

4.3.2. Comunicaes

4.3.2.1. Firewall

Descrio

O Firewall tornou-se tanto o conceito como a realizao da proteo e segurana


da rede e Internet. Pela sua rpida aceitao e evoluo, o Firewall tornou-se a
50

www.projetoderedes.kit.net

tecnologia de segurana mais visvel nas empresas e nos outros locais de sua
utilizao.
Firewall, como mecanismo de segurana de redes, tem fornecido proteo
conectividade de um determinado local com a rede externa, mais visivelmente a Internet
[10].
Um Firewall um dos mecanismos usados no controle de acesso a uma rede,
com a finalidade de proteg-la. Um Firewall age como um Gateway atravs do qual
todo o trfego entra e sai. Firewalls ajudam a colocar limitaes na quantidade e no
tipo de comunicao que trafega entre a rede protegida e uma outra rede, por exemplo,
a Internet e outra parte da rede local.
Um Firewall geralmente um modo de construir uma parede entre uma parte de
uma rede (a rede interna do laboratrio) e a parte externa (como a Internet).

caracterstica peculiar sobre esta parede que devem existir modos especficos para
que um trfego com caractersticas particulares passe atravs de suas portas
monitoradas (Gateways). A parte difcil est no estabelecimento dos critrios pelos
quais a passagem dos pacotes pelas portas permitida ou negada (regras de filtragem)
[6].

Motivao

No laboratrio, apesar da existncia de um Firewall (IPTables, instalado em um


Linux RedHat 7.3), j ocorreram casos de invaso no servidor Web e modificao de
pginas.
Desta forma, existe a necessidade de instalao de um Firewall, com um
conjunto de regras compatveis s necessidades de segurana e aos servios que
devem rodar no sistema, que tem como objetivos:

Proteger o servidor de Banco de Dados de seqncias biolgicas de trfego


hostil, visando manter a integridade do mesmo.

Proteger as estaes da rede interna do Laboratrio de Bioinformtica, de


trfego hostil.

Ser uma soluo sem nus e efetiva.


51

www.projetoderedes.kit.net

Medidas

Instalao de um servidor de Firewall, com as seguintes caractersticas:


 Sistema Operacional OpenBSD (ltima verso);
 Filtragem de Pacotes atravs do Packet Filter (sistema de filtragem de
pacotes padro do OpenBSD, a partir da verso 3.0);
 Trs interfaces de rede: Uma para a rede externa, com endereo vlido e
outras duas subredes internas invlidas, uma para as estaes e outra
para o servidor Web.
 Traduo do endereo de rede invlido (NAT) do servidor Web, a fim de
que ocorra a comunicao entre este e computadores da rede externa.
 Criao de um conjunto de regras referentes realizao dos servios
essenciais.

Abrangncia BIOINFO.

4.3.2.2. Sistema de Deteco de Intruso (IDS)

Descrio

Quando perguntados sobre como lidar com a segurana de redes de


computadores, a maioria das pessoas menciona Firewalls. De fato, Firewalls foram os
primeiros produtos de segurana de redes largamente utilizados.
Porm, apesar de ser efetivo, os Firewalls no so uma soluo completa de
segurana. Embora eles possam restringir o trfego para o que os gerentes de rede
desejam que seja permitido, eles no so capazes de prevenir ataques se o trfego
hostil passar pelo Firewall.
Os sistemas de deteco de intruso (IDSs) so softwares ou hardwares que
automatizam a monitorao de eventos que ocorrem internamente a um sistema
computacional ou rede. Os IDSs no apenas coletam e sincronizam registros destes

52

www.projetoderedes.kit.net

eventos, mas tambm fazem uma anlise dos mesmos procurando por sinais de
violaes de segurana [10].

Motivao

Apesar da existncia de um Firewall, existe a necessidade de determinar o nvel


de ameaa a que uma rede est sujeita. Sistemas de Deteco de Intruso baseados
em rede freqentemente realizam esta tarefa, realizando esta monitorao quando
colocados entre o Firewall e a rede externa.
Os IDSs tambm so uma valiosa ferramenta de segurana para os sistemas,
pois auxiliam a monitorao do tipo de trfego que sai da rede interna. Assim como o
Firewall, o IDS deve ser uma soluo efetiva e sem nus.

Medidas

Instalao de um Sistema de Deteco de Intruso com as seguintes


caractersticas:
 Utilizao do Snort [7] como IDS padro, em uma plataforma com
OpenBSD como sistema operacional.
 Localizao do sensor externo ao Firewall do laboratrio.
 Utilizao de resposta passiva, sendo que o IDS comunica os resultados
do processo de deteco ao responsvel, o qual deve ento interpretar os
resultados.
 Criao de um conjunto de regras referentes deteco de intruso.
 Utilizao da interface de anlise da base de dados de intruso (ACID) [8],
com conexo encriptada HTTPS (SSL / TLS), em servidor Apache.

Abrangncia BIOINFO.

4.3.2.3. Servidor Web e Acesso Remoto

Descrio
53

www.projetoderedes.kit.net

Proteger um servidor Web significa garantir que o site e suas funcionalidades


estejam disponveis ininterruptamente durante o dia, todos os dias da semana. Esta
proteo tambm significa que a informao trocada com o site deve ser precisa e
segura (integridade).
A proteo do servidor Web reside na juno da tecnologia, da estratgia, da
relao das pessoas que acessam as pginas e do gerenciamento do projeto. De
maneira geral, a disponibilidade do servidor Web e sua integridade afetam diretamente
o bom andamento de todo um projeto.
O acesso remoto a capacidade de obter acesso a um computador ou uma rede
a partir de uma distncia remota. Nas corporaes, o pessoal dos escritrios de filiais e
as pessoas que esto viajando podem precisar de acesso rede da corporao.
Usurios domsticos fazem acesso remoto Internet via um provedor (ISP). Conexes
Dial-up, ADSL, ou por rdio feitas por computadores de mesa, computadores portteis
(laptops), ou palmtops so mtodos comuns de acesso remoto [10].

Motivao

O acesso remoto aos sistemas do laboratrio (no caso a pgina Web) e aos
Banco de Dados feito por redes externas, fora do controle direto do laboratrio (como
a Internet), o que constitui uma ameaa considervel.
Os dados transmitidos pelos usurios remotos so de alta confidencialidade,
necessitando tambm como requisito de segurana a integridade. Existe tambm a
necessidade dos usurios remotos realizarem um login com autenticao de ID e
senha.

Medidas

Em funo da confidencialidade da natureza da informao processada pelo


servidor Web, este deve suportar e ter implementado o Protocolo Seguro de

54

www.projetoderedes.kit.net

Transferncia de Hipertexto (HTTPS Hypertext transfer protocol secure),


usando TCP (Transmission Control Protocol) porta 443.

O servidor Web deve estar localizado internamente ao Firewall, em uma DMZ


(Demilitarized Zone), regio no militarizada localizada entre o Firewall e a
rede externa. Nesta configurao, o Firewall possui uma interface ligada
rede externa (com endereo vlido) e duas interfaces na rede interna (com
endereos invlidos), uma para a rede interna e outra para o servidor Web,
que por possuir endereo invlido, requer a realizao de NAT (traduo de
endereo) por parte do Firewall.

Realizao de login dos usurios remotos atravs de ID (identificao) e


senha, sendo que alm dos dados enviados pelo usurio, deve tambm ser
armazenado a data e horrio de conexo.

Abrangncia BIOINFO.

4.3.3. Infra-estrutura

4.3.3.1. Segurana Fsica

Descrio

A infra-estrutura de informao deve estar bem protegida de qualquer tipo de


ameaa fsica potencial, a fim de assegurar o desempenho de todos os componentes
do sistema. A infra-estrutura vulnervel pode ser qualquer componente do sistema de
computao, comunicao, rede, cabeamento, ou qualquer outro servio de suporte ou
utilidade necessrio para manter funcionando o sistema de informao.
Muitos tipos de ameaa fsica so altamente direcionadas aos sistemas de
informao. A infra-estrutura atrativa porque muito cara, freqentemente de fcil
acesso e invasores nem sempre so pegos. Com freqncia, uma ataque fsico mais
fcil de ser cometido e causa mais danos financeiros do que um ataque lgico.
A proteo fsica de um computador apresenta os mesmos problemas que so
levantados quando se deseja proteger mquinas de escrever ou mesmo jias. Como
55

www.projetoderedes.kit.net

uma mquina de escrever, um computador de escritrio um equipamento que muitas


pessoas de dentro do escritrio precisam acessar durante o trabalho. Como uma jia,
computadores so muito valiosos e fceis de serem vendidos. Mas o perigo real em ter
um computador roubado no diz respeito ao valor do hardware, mas ao valor da
informao armazenada nestes. Da mesma forma que ocorre com registros oficiais ou
financeiros, se no existe um backup, ou se o backup foi roubado junto com o
computador, os dados roubados podem ficar irrecuperveis. Mesmo tendo backup,
deve-se gastar um bom tempo reconfigurando o sistema e restaurando os arquivos.
Finalmente, existe sempre a chance da informao roubada, ou mesmo o fato desta ter
sido roubada, ser usado contra os usurios do sistema.
Existem vrias medidas a serem tomadas para proteger o sistema de
computadores de ameaas fsicas. Muitas destas medidas iro, simultaneamente,
proteger o sistema de perigos naturais, de estranhos ou mesmo de sabotadores
internos.
Uma segurana efetiva um processo de planejamento, no um produto.
Simplesmente escolhendo produtos, vendedores ou solues padronizadas no
suficiente e podendo ser ineficiente, arriscado ou mesmo um desperdcio. Sendo assim,
o processo de planejamento a chave para a boa proteo [9].

Motivao

A inexistncia de identificao, principalmente por parte dos visitantes do


laboratrio, um fator de risco, visto que a nica forma de distino entre as pessoas
que freqentam o laboratrio o conhecimento prvio dos usurios do local.
Em funo da inexistncia de identificao, outro fator de risco a entrada no
autorizada de estranhos, quando os prprios usurios do laboratrio seguram a porta
externa para que estes desconhecidos entrem no recinto.
Como os aparelhos de ar condicionado no possuem grades internas nem
externas, basta a remoo dos mesmos para que se obtenha acesso rea restrita do
laboratrio, sem que seja necessrio passar pelas portas de acesso.

56

www.projetoderedes.kit.net

Em situaes emergenciais, no existe nenhum procedimento padro que deve


ser tomado para evacuar o local.

Medidas

Instaurao do uso de crachs, por parte dos visitantes ao laboratrio.

Instalao de um sistema de controle eletrnico de entrada e sada dos


usurios, na porta de acesso ao laboratrio.

Instalao de grades de segurana na parte interna dos aparelhos de ar


condicionado, impossibilitando o acesso direto parte interior do laboratrio
quando da remoo destes.

Criao de um procedimento de evacuao dos laboratrios (BIOMOL e


BIOINFO) em casos emergenciais, a fim de que cada usurio possa executar
uma determinada rotina padro, em funo da atividade que exerce. Sendo
assim, os usurios dos laboratrios devero estar cientes do procedimento de
evacuao especfico para a sua atividade de trabalho.

Abrangncia BIOMOL e BIOINFO.

4.3.4. Metodologias

4.3.4.1. Recursos Humanos, gerenciamento e cuidados com a segurana dos


empregados

Descrio

Segurana de Pessoal corresponde a tudo que envolve os usurios: A forma de


contrat-los, seu treinamento, a monitorao de suas atividades e s vezes lidar com a
demisso dos mesmos. Estatsticas mostram que a forma mais comum de ocorrncia
de crimes de invaso de computadores envolve as pessoas que tm acesso legtimo
agora, ou que tiveram acesso recentemente. Alguns estudos mostram que cerca de

57

www.projetoderedes.kit.net

80% de incidentes so causados por estes indivduos. Assim, o gerenciamento do


pessoal com acesso restrito uma parte importante de um plano de segurana [9].
As pessoas envolvem-se em problemas de segurana de computador de dois
modos. Algumas pessoas, no intencionalmente ingressam na comisso de incidentes
de segurana sem seguir um procedimento adequado, esquecendo de consideraes
de segurana, e no entendendo o que esto fazendo. Outras pessoas violam
conscientemente controles e procedimentos para causar um incidente.

Motivao

Existe a necessidade de que todos os usurios dos laboratrios tenham


conhecimento da forma de utilizar as instalaes dos mesmos e expressem isto
formalmente atravs da assinatura de documentao devida, para que riscos de
segurana provenientes do desconhecimento das polticas vigentes sejam minimizados.

Medidas

Incluso de materiais escritos contendo as polticas de uso dos computadores


e dependncias por parte dos usurios, bem como as penalidades para
violao destas polticas.

Treinamento dos usurios para uso adequado das polticas de segurana.

Todos os usurios devem assinar um termo de concordncia com as polticas


descritas acima e de suas restries.

Em caso de demisso de um usurio, fim de projeto ou trabalho, os


responsveis pela administrao da rede devem ser imediatamente
informados, para que sejam tomadas as medidas cabveis continuidade de
acesso e a forma do mesmo por parte de tal usurio.

Abrangncia BIOMOL e BIOINFO.

58

www.projetoderedes.kit.net

4.3.4.2. Classificao de informao

Descrio

Desde a antigidade, as pessoas protegem as informaes que lhes do alguma


vantagem sobre seus adversrios. Em tempos de guerra, quando a soberania de uma
nao est em jogo, as razes para se manter segredo sobre a informao so mais
aparentes e aceitao dessas restries pelas pessoas mais abrangente.
Nos dias de hoje, seja nas empresas, nas universidades ou mesmo em rgos
governamentais, a necessidade de manter sigilo sobre determinado tipo de informao,
enquanto outra modalidade deve se difundida, indica a necessidade de elaborar uma
classificao de informao em vrios nveis, cada um dos quais com seu nvel de
permisso de acesso.

Motivao

Informaes de tipos diferentes precisam ser asseguradas de modos diferentes.


Desta forma, um sistema de classificao ento requerido, onde a informao ser
classificada e os usurios tero acesso s informaes em funo das atividades
desempenhadas, as quais determinaro quais tipos de dados os usurios podem
acessar.

Medidas

Os dados devem ser classificados segundo o seguinte critrio [5]:

Tipo 1 - Classificao: Pblica / Informao sem Classificao

Os dados nestes sistemas podem se tornar pblicos sem qualquer implicao


para o laboratrio, por exemplo os dados no so confidenciais. A integridade de dados
no vital. A perda destes dados devido a ataques maliciosos um perigo aceitvel.
59

www.projetoderedes.kit.net

Exemplos: Contedo informativo de interesse pblico.

Tipo 2 - Classificao: Informao interna

O acesso externo para estes dados ser restrito, mas se estes dados tornaremse pblicos, as conseqncias no so crticas. O acesso Interno seletivo e a
Integridade de dados importante mas no vital.
Exemplos: Arquivos do servidor (fora do banco de dados) e pgina Web do
laboratrio.

Tipo 3 - Classificao: Informao confidencial

Dados nesta classe so confidenciais dentro do laboratrio e devem ser


protegidos do acesso externo. Se estes dados forem acessados por pessoas sem
autorizao, poderiam influenciar todo o trabalho do laboratrio, causar perda financeira
importante, ou mesmo invalidar todo o resultado obtido. Integridade destes dados
vital.
Exemplo: Informaes das seqncias biolgicas contidas no banco de dados.

Abrangncia BIOINFO.

4.3.4.3. Sistemas Crticos e controle de acesso a dados

Descrio

O acesso a dados e a informaes est no centro de todo conjunto de Polticas


de Segurana de Informao. Acesso indevido a dados pode infringir a poltica da
organizao e tambm os regulamentos legais.
Negar a pessoas sem autorizao o acesso fsico ou lgico aos sistemas da
organizao parte de um processo de Segurana de Informao efetivo. Acesso fsico
sala de computadores sempre deveria ser restrito somente a pessoas autorizadas.
60

www.projetoderedes.kit.net

Autorizao [10] a alocao da permisso certos tipos de acessos


informaes restritas. No mundo real, a autorizao conferida seres humanos reais.
Em contraste, a tecnologia da informao normalmente confere autorizao
identificadores de usurios (IDs). Sistemas computacionais necessitam fazer a conexo
entre IDs especficas e entre os usurios especficos destas IDs. Mesmo componentes
inanimados, tais como placas de rede e impressoras precisam de um ID. Identificao
[10] o processo de associar um ID a um usurio ou a um computador ou componente
de rede. Autenticao o processo de conectar um ID a uma entidade especfica. Por
exemplo, a autenticao de uma identidade de usurio geralmente envolve a
diminuio do nmero de possveis entidades que desejam autorizao de uso de uma
ID especfica para apenas uma pessoa.
Neste contexto, a segurana de sistemas crticos corresponde necessidade de
manter os dados de determinado sistema disponveis e corretos.

Motivao

A separao de obrigaes [10] um modelo onde a cada indivduo fica


designada uma identificao (ID) e uma senha. Assim, programadores, administradores
ou mesmo pesquisadores tero determinado nvel de acesso, o qual especfico a
cada atividade. Desta forma, existe a necessidade de que o acesso seja determinado
pela necessidade, e no pelo status.
Sobre a determinao do acesso em funo da necessidade, usurios cujas
atividades no justificam o nvel de acesso em que encontram, deveriam ser
reclassificados e assim obter o nvel de acesso adequado.
Alm da necessidade de se fazer este controle de acesso aos dados, deve-se
tambm realizar a proteo das informaes contidas nos Bancos de Dados. Desta
forma, ficar reduzida a possibilidade de modificao dos dados acidental ou
intencional sem autorizao.

Medidas

61

www.projetoderedes.kit.net

Criao de grupos de usurios (remotos ou locais) com nveis de acesso


especficos atividade desempenhada. Cada usurio deve possuir uma
identificao (lD) e uma senha intransferveis.

Cada usurio deve utilizar somente sua ID e senha para acessar o sistema.

Abrangncia BIOINFO.

4.3.4.4. Proteo Antivrus

Descrio

O objetivo do conceito de proteo de vrus de computador criar protees


satisfatrias com as quais a ocorrncia de vrus de computador nos sistemas de
tecnologia pode ser prevenida e detectada to cedo quanto possvel. Deste modo,
medidas podem ser tomadas e possveis danos podem ser minimizados. Na proteo
contra vrus de computador essencial que as protees sejam adquiridas e as
contramedidas tcnicas sejam constantemente atualizadas. Esta exigncia ocorre
devido ao surgimento ininterrupto de novos vrus de computador ou variantes de vrus.
Embora exista a possibilidade do sistema de proteo, em determinado instante,
no possuir ainda a capacidade de eliminar um vrus recm lanado, a sua
implementao indispensvel atualmente.

Motivao

Existncia descentralizada de um sistema de proteo antivrus (fica a critrio de


cada usurio utilizar ou no o antivrus) , bem como a ocorrncia de infees peridicas
nos computadores.

Medidas

62

www.projetoderedes.kit.net

Instalao de um sistema de proteo antivrus centralizado, onde a partir de


um servidor possvel fazer o controle de instalaes de software de antivrus
em todas as estaes;

Configurar o sistema para que somente a partir do servidor seja possvel a


instalao de software antivrus;

Fazer atualizaes peridicas do software antivrus, e se possvel programar


para atualizao automtica;

Promover verificaes de rotina peridicas em todos os computadores do


laboratrio;

Treinamento dos usurios para melhor uso do software antivrus e


conscientizao da necessidade do mesmo.

Abrangncia BIOMOL e BIOINFO.

4.3.4.5. Procedimentos de Backup

Descrio

Backups so cpias de arquivos de dados ou registros. Normalmente, os


backups so armazenados em uma mdia diferente do dado original.
Como resultado de uma falha tcnica, deleo inadvertida ou manipulao no
autorizada, os dados podem se tornar inteis ou perdidos. A criao de backups, assim,
assegura que qualquer dado redundante pode ser rapidamente restabelecido quando
os dados operativos esto perdidos.
Backups devem ser um pr-requisito de qualquer operao segura em
computadores, porm, a informao armazenada nas fitas extremamente vulnervel.
Quando a informao armazenada em um computador, os mecanismos de verificao
e proteo do sistema operacional previnem que pessoas no autorizadas vejam a
informao. Depois que a informao escrita em uma fita de backup, qualquer um que
tiver posse da fita pode ler seu contedo. Por esta razo, a proteo dos backups se
faz to necessria quanto a proteo dos prprios computadores.

63

www.projetoderedes.kit.net

Motivao

Em funo da freqncia da ocorrncia de backup dos arquivos do sistema ser


feita a critrio do administrador, a inexistncia de periodicidade programada para a
realizao do backup pode acarretar perdas de informao no caso de uma
necessidade futura de restaurao de arquivos do sistema.
Por no haver periodicidade nem etiquetao nas mdias de backup, a
identificao dos arquivos onde foi feito backup em determinada data fica dificultada.
Como no existe modo de preveno ao acesso mdia de backup, qualquer
pessoa que tiver acesso a estas mdias poderia restaurar os arquivos em outro sistema.

Medidas

Estratgia de backup Completo uma vez na semana (por exemplo, Sextafeira). Nesta estratgia feito o armazenamento de uma cpia de todos os
dados contidos no dispositivo de armazenamento do sistema (disco rgido).

Estratgia de backup Diferencial nos demais dias da semana (Segunda a


Quinta-feira, por exemplo). Nesta estratgia feito o armazenamento de
todos os dados que foram modificados desde o ltimo backup Completo.

Etiquetao das mdias de backup, as quais devem conter o dia da semana


da realizao do backup e o tipo de backup (Total ou Diferencial).

Fazer uma verificao mensal dos backups para que se tenha certeza de que
eles contm dados vlidos.

Utilizar encriptao nos dados de backup, a fim de dificultar o acesso estes


dados, em caso de extravio de mdia.

Abrangncia BIOINFO.

64

www.projetoderedes.kit.net

4.3.4.6. Operaes com computadores

Descrio

Operaes consistem dos requerimentos para controle, manuteno e suporte


dos sistemas de produo [10]. O pessoal responsvel pela operao deve executar
tarefas tais como instalar novas verses de programas em produo e manter a
produo do banco de dados com eficincia mxima.

Motivao

A monitorao consistente da utilizao dos recursos do sistema uma das


tarefas mais importantes do pessoal de operaes. Atravs da monitorao possvel
melhorar a eficincia da produo do banco de dados.
Freqentemente, quando se faz necessrio modificar uma pequena parte do
Sistema Operacional, em vez de instalar uma nova verso, os fabricantes questionam
se o usurio deseja aplicar uma atualizao (patch). Os patches modificam localmente
o cdigo compilado.
Em funo de muitos dos componentes do sistema ainda no possurem nmero
de patrimnio, faz-se necessria a diminuio do intervalo te tempo entre a aquisio
de um componente e a colocao do patrimnio.

Medidas

Ao proceder a instalao de um novo patch, primeiramente instal-lo em uma


mquina de testes, observar por um perodo se o sistema se comporta
conforme esperado e s ento executar a atualizao nas outras mquinas
que a requerem.

Incluso de anlise grfica e peridica dos arquivos de log para identificar


mudanas no nmero de arquivos, disponibilidade de espao em disco,

65

www.projetoderedes.kit.net

quantidade de CPU utilizada e nmero de operaes de troca (SWAP) em


memria virtual.

Solicitao, assim que um novo componente de sistema for adquirido, da


colocao de seu nmero de patrimnio.

4.4.

Abrangncia BIOINFO.

Concluso

Neste captulo foram descritas as 3 etapas de desenvolvimento dos


procedimentos de segurana do Laboratrio de Bioinformtica. Por este laboratrio
estar inserido no Laboratrio de Biologia Molecular (BIOMOL), alguns procedimentos se
referiram tambm a este ltimo.
Na primeira etapa (avaliao preliminar), os usurios do BIOINFO responderam
ao questionrio, que foi aplicado na forma de entrevista.
A segunda etapa foi realizada com o intuito de levantar um panorama da
situao atual do BIOINFO. Os dados obtidos na etapa um, bem como uma descrio
dos equipamentos existentes no mesmo, serviram de embasamento para realizao
desta tarefa.
Com os dados coletados e a anlise das demandas de segurana existentes no
BIOINFO e BIOMOL (quando se aplicava), foi realizada a etapa 3. Nesta fase foram
descritos os Procedimentos de Segurana que j estavam em uso, os procedimentos
de segurana que seriam implantados e aqueles tomados como sugesto futura de
implantao. Para cada medida referente a um Procedimento de Segurana especfico,
foi determinada a abrangncia desta (BIOMOL, BIOINFO ou ambos).

66

www.projetoderedes.kit.net

Captulo 5 Implantao
O captulo 5 corresponde Implantao do Firewall, bem como da configurao
do HTTPS. A instalao do Firewall foi feita primeiramente em uma mquina de teste
(uracila), sendo que aps a verificao do seu perfeito funcionamento, procedeu-se a
instalao no servidor definitivo, com a passagem dos arquivos necessrios. Por motivo
das duas instalaes e procedimentos de configurao de arquivos serem equivalentes,
so descritos nesta etapa apenas os passos referentes ao servidor definitivo (RNA).

5.1.

Plano de implantao

A partir dos dados obtidos nas medidas de segurana aplicadas a cada


subseo dos procedimentos de segurana (Captulo 4), pode-se estabelecer um plano
de prioridades para aplicao de tais medidas. A seqncia de implantao est
descrita na tabela 5.1 :

PRIORIDADE

MEDIDA

APLICAO

Sistemas Crticos e controle de acesso aos

J implantado

dados (4.3.4.3)
Operaes com computadores (4.3.4.6)

J implantado

01

Instalao do Firewall (4.3.2.1)

Este projeto

02

Servidor Web e acesso remoto (4.3.2.3)

Este projeto

03

IDS Sistema de Deteco de Intruso (4.3.2.2)

Implantao futura

04

Procedimentos de Backup (4.3.4.5)

Implantao futura

05

Proteo Antivrus (4.3.4.4)

Implantao futura

06

Segurana Fsica (4.3.3.1)

Implantao futura

07

Classificao da Informao (4.3.4.2)

Implantao futura

08

Recursos Humanos, gerenciamento e cuidados Implantao futura


com a segurana dos empregados (4.3.4.1)

Tabela 5.1: Plano de Medidas do laboratrio de Biologia Molecular

67

www.projetoderedes.kit.net

5.2.

Instalao do OpenBSD

5.2.1. Viso geral do procedimento de instalao OpenBSD

O OpenBSD tem um procedimento de instalao muito robusto e adaptvel. A


maioria das arquiteturas tm um procedimento de instalao semelhante, o qual pode
ser feito atravs de FTP, CDROM ou e arquivos de disco locais.

5.2.2. Arquiteturas de OpenBSD suportadas

O OpenBSD 3.1 suporta vrias arquiteturas listadas abaixo em ordem alfabtica:

alfa - DEC mquinas Alfa-baseadas.


amiga - Amiga modelos m68k-baseados
hp300 - Hewlett-Packard mquinas HP300/HP400.
i386 - PC's baseados na arquitetura Intel
mac68k - Maioria dos MC680x0-baseada modelos Apple Macintosh.
mvme68k - Motorola MVME147/16x/17x 68K cartes de VME.
macppc - Suporte para Apple baseada em sistemas de PowerPC.
sparc - Plataforma SPARC da Sun Microsystems
sparc64 - Sistemas de UltraSPARC da Sun
vax - Computadores VAX da Dec.

No caso da instalao no servidor do laboratrio, a arquitetura utilizada foi a i386.

5.2.3. Criando CD de inicializao para o OpenBSD

Como o OpenBSD no fornece um ISO gratuito para instalao, foi adotada


como opo a criao um CD bootvel.
Para a criao deste CD, foram necessrias 3 etapas:

Elaborao de um disquete de boot para instalao;

Download dos arquivos de instalao;

Gravao do CD.

68

www.projetoderedes.kit.net

5.2.3.1. Elaborao do disquete de boot


Para criao deste disquete, foi necessrio o download de sua imagem de um
dos sites do OpenBSD (http://www.openbsd.org/ftp.html). O arquivo de imagem utilizado
foi o floppyB31.fs , proveniente de /pub/OpenBSD/3.1/i386/ .
Uma vez com a imagem, procedeu-se a instalao em um disquete, a qual foi
feita atravs do rawrite, em ambiente Windows. Exemplo de uso:
C:\> rawrite
RaWrite 1.2 - Write disk file to raw floppy diskette
Enter source file name: floppyB31.fs
Enter destination drive: a
Please insert a formatted diskette into drive A: and press -ENTER- : >Enter<

5.2.3.2. Download dos arquivos de instalao

Assim como o download do arquivo de imagem, os arquivos de instalao


tambm foram copiados de um dos sites descritos (http://www.openbsd.org/ftp.html),
com caminho /pub/OpenBSD/3.1/i386/.
Os arquivos necessrios para instalao so os seguintes:

base31.tgz Contm o sistema do OpenBSD (Necessrio).


etc31.tgz Contm todos os arquivos do /etc (Necessrio).
comp31.tz Contm o compilador e suas ferramentas, bibliotecas
(Recomendado).
man31.tgz Contm as pginas do man (Recomendado).
misc31.tgz - Contm informao de misc e documentao de setup.
game31.tgz Contm os jogos do OpenBSD.
xbase31.tgz Contm a instalao bsica para X11.
xfont31.tgz Contm o servidor fonte X11.
xserv31.tgz Contm X server para X11.
xshare31.tgz - Contm manpages, configuraes locais, includes, etc
para X.
bsd Este o Kernel (Necessrio).

5.2.3.3. Criao do CD de Boot

A instalao do CD de Boot foi feita atravs do programa Nero Burning ROM


(http://www.ahead.de/en/index.html#c1002822566925), em ambiente Windows.
69

www.projetoderedes.kit.net

A opo de gravao utilizada foi CD-Rom Bootable, onde possvel selecionar


o disquete de boot gravado para inicializar o CD. Ento foram inseridos os arquivos e
procedeu-se a gravao.

5.2.4. Inicializando as Imagens de Instalao do OpenBSD

Aps gravado o CD, configurou-se a BIOS do computador para inicializar pelo


CD. Assim, o computador foi ligado e a instalao inicializada, aparecendo a seguinte
tela (Figura 5.1):

rootdev=0x1100 rrootdev=0x2f00 rawdev=0x2f02


Enter pathname of shell or RETURN for sh:
erase ^?, werase ^W, kill ^U, intr ^C
(I)nstall, (U)pgrade or (S)hell? i
==================================================
Welcome to the OpenBSD/i386 2.8 installation program.
This program is designed to help you put OpenBSD on your disk in a simple and
rational way.
As with anything which modifies your disk's contents, this program can cause
SIGNIFICANT data loss, and you are advised to make sure your data is backed up
before beginning the installation process.
Default answers are displayed in brackets after the questions. You can hit
Control-C at any time to quit, but if you do so at a prompt, you may have to
hit return. Also, Quitting in the middle of installation may leave your system
in an inconsistent state. If you hit Control-C and restart the install, the
install program will remember many of your old answers.
You can run a shell command at any prompt via '!foo' or escape to a shell by
simply typing '!'.
Specify terminal type [pcvt25]: <Enter>

Figura 5.1: Tela inicial de instalao

Nas figuras referentes instalao, as linhas mais escuras correspondem aos


pontos de interao com o sistema. Os comandos executados esto em negrito ao final
destas linhas. Algumas partes textuais onde no ocorreu interao com a console foram
suprimidas das figuras, com o objetivo de facilitar a visualizao dos procedimentos
adotados.

70

www.projetoderedes.kit.net

5.2.5. Configurando os discos durante a instalao

A configurao do disco no OpenBSD bastante semelhante para cada


plataforma. Para a i386, a configurao do disco feita em duas fases. Uma com
fdisk e a outra com disklabel. Foi selecionado o disco padro sugerido com utilizao de
todo o espao, conforme descrito a seguir:

The installation program needs to know which disk to consider the root disk.
Note the unit number may be different than the unit number you used in the
boot program (especially on a PC with multiple disk controllers).
Available disks are:
sd0
Which disk is the root disk? [sd0] <Enter>
Do you want to use the *entire* disk for OpenBSD? [no] yes
[...]

Figura 5.2: Configurao de disco

5.2.6. Especificando os parmetros de disco

Aps a inicializao do disklabel (programa para formatao do disco e


configurao das parties) pelo programa de instalao do OpenBSD, foi dado o
comando p para exibir as informaes dos parmetros de disco existentes.
> p
device: /dev/rsd0c
type: ESDI
disk: ESDI/SCSI disk
label: Maxtor 54098U8
bytes/sector: 512
sectors/track: 63
tracks/cylinder: 16
sectors/cylinder: 1008
cylinders: 16383
total sectors: 80041248
free sectors: 80041185
rpm: 7200
16 partitions:
# size offset fstype [fsize bsize cpg]
a: 16450497 63 unused 0 0
c: 80041248 0 unused 0 0

Figura 5.3: Parmetros de disco existentes.


71

www.projetoderedes.kit.net

Aps a verificao dos parmetros existentes, foi iniciada a configurao das


parties. Os comandos iniciados por a so de criao e o iniciado por d so de
deleo. A segunda letra se refere partio criada.
O tamanho para cada partio variou em funo da necessidade particular de
espao para cada um. A partio de SWAP teve como tamanho o dobro da memria
fsica. No caso da partio /var , o seu tamanho foi maior que o das outras parties
porque nesta fica armazenado o arquivo de log.
A figura a seguir mostra como os parmetros de disco foram especificados:

> d a
> a a
offset: [63] <Enter>
size: [4192902] 2g
Rounding to nearest cylinder:
FS type: [4.2BSD] <Enter>
mount point: [none] /
> a b
offset: [4192965] <Enter>
size: [2104515] 1024m
Rounding to nearest cylinder:
> a d
offset: [6297480] <Enter>
size: [4192964] 2g
Rounding to nearest cylinder:
mount point: [none] /tmp
> a e
offset: [10490445] <Enter>
size: [41945715] 20g
Rounding to nearest cylinder:
mount point: [none] /var
> a g
offset: [52436160] <Enter>
size: [10490445] 5g
Rounding to nearest cylinder:
mount point: [none] /usr
> a h
offset: [62926605] <Enter>
size: [8193150] <Enter>
FS type: [4.2BSD] <Enter>
mount point: [none] /home

164241 <Enter>

614880 FS type: [swap] <Enter>

164304 FS type:[4.2BSD] <Enter>

164304 FS type: [4.2BSD] <Enter>

716688 FS type: [4.2BSD] <Enter>

Figura 5.4: Criao das parties de disco.

72

www.projetoderedes.kit.net

Aps a criao das parties, foi executado o comando p, a fim de exibir as


configuraes atuais de disco:

> p
device: /dev/rsd0c
type: ESDI
disk: ESDI/SCSI disk
label: Maxtor 54098U8
bytes/sector: 512
sectors/track: 63
tracks/cylinder: 16
sectors/cylinder: 1008
cylinders: 16383
total sectors: 80041248
free sectors: 0
rpm: 7200
16 partitions:
#
size
offset
a:
4192902
63
b:
2104515
4192965
c: 71119692
63
d:
4192964
6297480
e: 41945715 10490445
g: 10490445 52436160
h:
8193150 62926605

fstype
4.2BSD
swap
unused
4.2BSD
4.2BSD
4.2BSD
4.2BSD

[fsize bsize
1024 8192
0
1024
1024
1024
1024

cpg]
16 # /
0

8192
8192
8192
8192

16#
16#
16#
16#

/tmp
/var
/usr
/home

> w
> q

Figura 5.5: Tabela de parties de disco

Para salvar esta configurao, executou-se o comando w (write) e


posteriormente q (quit) para sair do disklabel.

5.2.7. Configurando o ponto de montagem e formatando o sistema de arquivos

Uma vez feita a distribuio das parties em disco, a configurao do ponto de


montagem feita apenas por confirmao dos parmetros j existentes. Aps esta
fase, o instalador do OpenBSD inicializa o processo de formatao de arquivos. Estas
etapas so descritas na figura abaixo:

73

www.projetoderedes.kit.net

The following partitions will be used for the root filesystem and swap:
sd0a
/
sd0b
swap
Mount point for sd0a (size=4192902k) [/, RET, none, or done]? >Enter<
Mount point for sd0e (size=41945715k) [/var, RET, none, or done]? >Enter<
Mount point for sd0g (size=10490445k) [/usr, RET, none, or done]? >Enter<
Mount point for sd0h (size=8193150k) [/home, RET, none, or done]? >Enter<
Mount point for sd0d (size=4192965k) [/tmp, RET, none, or done]? >Enter<
Mount point for sd0a (size=4192965k) [/, RET, none, or done]? done
Now you can select another disk to initialize. (Do not re-select a disk
you have already entered information for). Available disks are:
sd0
Which one? [done] >Enter<
You have configured the following devices and mount points:
sd0a /
sd0h /home
sd0d /tmp
sd0g /usr
sd0e /var
============================================================
The next step will overwrite any existing data on:
wd0a wd0h wd0d wd0g wd0e
Are you really sure that you're ready to proceed? [n] y
Creating filesystems...
Warning: 63 sector(s) in last cylinder unallocated
/dev/rsd0a:
163422 sectors in 173 cylinders of 15 tracks, 63 sectors
2GB in 11 cyl groups (16 c/g, 7.38MB/g, 1792 i/g)
Warning: 445 sector(s) in last cylinder unallocated
/dev/rsd0h:
7360160 sectors in 7789 cylinders of 15 tracks, 63 sectors
4.3GB in 487 cyl groups (16 c/g, 7.38MB/g, 1792 i/g)
Warning: 1 sector(s) in last cylinder unallocated
/dev/rsd0d:
163484 sectors in 173 cylinders of 15 tracks, 63 sectors
2GB in 11 cyl groups (16 c/g, 7.38MB/g, 1792 i/g)
/dev/rsd0g:
4193910 sectors in 4438 cylinders of 15 tracks, 63 sectors
5GB in 278 cyl groups (16 c/g, 7.38MB/g, 1792 i/g)
Warning: 1 sector(s) in last cylinder unallocated
/dev/rsd0e:
163484 sectors in 173 cylinders of 15 tracks, 63 sectors
20GB in 11 cyl groups (16 c/g, 7.38MB/g, 1792 i/g)

Figura 5.6: Configurao dos pontos de montagem e formatao.

5.2.8. Instalando a rede

A Configurao da rede uma opo dentro do programa de instalao do


OpenBSD. Neste ponto foram configuradas as interfaces de rede, a rota default e o
servidor de nomes primrio.
74

www.projetoderedes.kit.net

Configure the network? [y] >Enter<


Enter system hostname (short form, e.g. 'foo'): [] rna
If any interfaces will be configured using a DHCP server
it is recommended that you do not enter a DNS domain name,
a default route, or any name servers.
Enter DNS domain name (e.g. 'bar.com'): [] biomol.unb.br
You may configure the following network interfaces (the interfaces
marked with [X] have been successfully configured):
[ ] fxp0
[ ] bge0
[ ] bge1
Configure which interface? (or 'done') [fxp0] >Enter<
IP address (or 'dhcp')? [] 164.41.88.201
Symbolic (host) name? [rna] >Enter<
Netmask? [255.255.255.0] >Enter<
Media directives? [] >Enter<
You may configure the following network interfaces (the interfaces
marked with [X] have been successfully configured):
[X] fxp0
[ ] bge0
[ ] bge1
Configure which interface? (or 'done') [bge0] >Enter<
IP address (or 'dhcp')? [] 192.168.2.1
Symbolic (host) name? [rna] >Enter<
Netmask? [255.255.255.0] >Enter<
Media directives? [] >Enter<
You may configure the following network interfaces (the interfaces
marked with [X] have been successfully configured):
[X] fxp0
[X] bge0
[ ] bge1
Configure which interface? (or 'done') [bge1] >Enter<
IP address (or 'dhcp')? [] 192.168.1.1
Symbolic (host) name? [rna] >Enter<
Netmask? [255.255.255.0] >Enter<
Media directives? [] >Enter<
You may configure the following network interfaces (the interfaces
marked with [X] have been successfully configured):
[X] fxp0
[X] bge0
[X] bge1
Configure which interface? (or 'done') [done] >Enter<
Enter IP address of default route: [none] 164.41.88.1
Enter IP address of primary nameserver: [none] >Enter<
Would you like to use the nameserver now? [y] >Enter<

Figura 5.7: Configurao da rede

75

www.projetoderedes.kit.net

5.2.9. Escolhendo Mdia de Instalao e senha de root

Esta etapa descreve a escolha da senha de root e do tipo de instalao a ser


usado, o qual ser por CD. A figura 5.7 descreve o procedimento:

You will now be given the opportunity to escape to the command shell to do
any additional network configuration you may need. This may include adding
additional routes, if needed. In addition, you might take this opportunity
to redo the default route in the event that it failed above.
Escape to shell? [n] >Enter<
/dev/sd0a on /mnt type ffs (rw,asynchronous,local, ctime=Tue Jun 16 15:50:28 2
002)
/dev/sd0h on /mnt/home type ffs (rw,asynchronous,local, ctime=Tue Jun 16 15:50
:28 2002)
/dev/sd0d on /mnt/tmp type ffs (rw,asynchronous,local, ctime=Tue Jun 16 15:50:
28 2002)
/dev/sd0g on /mnt/usr type ffs (rw,asynchronous,local, ctime=Tue Jun 16 15:50:
28 2002)
/dev/sd0e on /mnt/var type ffs (rw,asynchronous,local, ctime=Tue Jun 16 15:50:
28 2002)
Please enter the initial password that the root account will have.
Password (will not echo): >enter root PW<
Password (again): >re-enter root PW<
Do you expect to run the X Window System? [y] >Enter<
You must now specify where the install sets you want to use are. They
must either be on a local device (disk, tape, or CD-ROM), na
accessible NFS filesystem or an accessible ftp or http network
server. You will have the chance to repeat this step or to extract
sets from several places, so you do not have to try to load all the
sets in one try and can recover from some errors.
Install from (f)tp, (h)ttp, (t)ape, (C)D-ROM or local (d)isk? c
Which CD-ROM contains the installation media? [cd0] >Enter<
Enter the directory relative to the mount point that contains the file:
[3.1/i386] >Enter<

Figura 5.8: Escolha da Mdia de Instalao e senha de root

5.2.10. Escolhendo os pacotes de instalao e finalizando

Nesta fase, foram selecionados todos os pacotes disponveis para instalao,


atravs da opo *. Uma vez escolhidos quais pacotes seriam instalados, foi
questionado se realmente deseja-se proceder com esta. Uma barra de progresso foi
mostrada, a qual manteve a informao sobre quanto tempo levaria a extrao.
76

www.projetoderedes.kit.net

The following sets are available. Enter a filename, 'all' to select


all the sets, or 'done'. You may de-select a set by prepending a '-'
to its name.
[X] base31.tgz
[X] etc31.tgz
[X] misc31.tgz
[X] comp31.tgz
[X] man31.tgz
[X] game31.tgz
[ ] xbase31.tgz
[ ] xshare31.tgz
[ ] xfont31.tgz
[ ] xserv31.tgz
[X] bsd
File name? [xbase31.tgz] *
[X] base31.tgz
[X] etc31.tgz
[X] misc31.tgz
[X] comp31.tgz
[X] man31.tgz
[X] game31.tgz
[X] xbase31.tgz
[X] xshare31.tgz
[X] xfont31.tgz
[X] xserv31.tgz
[X] bsd
File name? [done] done
Ready to install sets? [y] >Enter<
Getting base31.tgz ...
100% |*********************************************|
Getting etc31.tgz ...
100% |*********************************************|
Getting misc31.tgz ...
100% |*********************************************|
Getting comp31.tgz ...
100% |*********************************************|
Getting man31.tgz ...
100% |*********************************************|
Getting bsd ...
100% |*********************************************|
Getting xbase31.tgz ...
100% |*********************************************|
Getting xshare31.tgz ... 100%
|**************************************************|
Getting xfont31.tgz ... 100%
|**************************************************|
Getting xserv31.tgz ... 100%
|**************************************************|

23299 KB

00:25

1164

KB

00:02

1664

KB

00:01

16061 KB

00:18

5412

KB

00:08

4436

KB

00:02

8520

KB

00:06

1815

KB

00:05

30657 KB

00:31

19339 KB

00:11

Figura 5.9: Escolha dos pacotes de instalao

77

www.projetoderedes.kit.net

5.2.11. Finalizando

Uma vez que os pacotes foram instalados, o passo final corresponde


configurao do fuso-horrio, o qual foi realizado da seguinte maneira (Figura 5.9):

Extract more sets? [n]


Copying... fstab hostname.fxp0 hosts myname mygate resolv.conf ...done.
What timezone are you in? ('?' for list) [US/Pacific] /Brazil
Select a sub-timezone of 'Brazil' ('?' for list): East
You have selected timezone 'Brazil/East'.
Making all device nodes (by running /dev/MAKEDEV all) ...... done.
Installing boot block...
boot: /mnt/boot
proto: /usr/mdec/biosboot
device: /dev/rwd0c
/usr/mdec/biosboot: entry point 0
proto bootblock size 512
room for 12 filesystem blocks at 0x16f
Will load 7 blocks of size 8192 each.
Using disk geometry of 63 sectors and 255 heads.
0: 56 @(0 152 8) (9583-9638)
1: 40 @(0 153 1) (9639-9678)
2: 16 @(0 9 27) (593-608)
/mnt/boot: 3 entries total
using MBR partition 3: type 166 (0xa6) offset 63 (0x3f)
Enabling machdep.allowaperture. Read xf86(4) for more information.
Cleaning up...
/dev/wd0e: unmount from /mnt/var
/dev/wd0g: unmount from /mnt/usr
/dev/wd0d: unmount from /mnt/tmp
/dev/wd0h: unmount from /mnt/home
/dev/wd0a: unmount from /mnt
Done.
CONGRATULATIONS! You have successfully installed OpenBSD! To boot the
installed system, enter halt at the command prompt. Once the system has
halted, reset the machine and boot from the disk.
# halt
syncing disks... done
The operating system has halted.
Please press any key to reboot.

Figura 5.10: Configurao de fuso-horrio e finalizao.

Desta forma, o OpenBSD foi instalado, seguindo ento um boot para inicializao
do sistema.

78

www.projetoderedes.kit.net

5.3.

Configurao do HTTPS

O arquivo de configurao do servidor Web apache o /etc/httpd/conf/httpd.conf.


O arquivo httpd.conf bem-comentado e at certo ponto auto-explicativo. Sua
configurao padro funciona para a maioria dos sites, assim no so necessrias
muitas alteraes neste arquivo.
Antes de iniciar a configurao do HTTPS no apache, foi feita uma cpia do arquivo
existente, a qual foi nomeada como httpd.conf-old. Esta medida foi tomada como
precauo, para que no caso da ocorrncia de problemas, fosse possvel restaurar a
configurao padro.
Para ter suporte ao HTTPS, o arquivo httpd.conf deve, primeiramente, estar configurado
para tambm ouvir a porta 443 (porta padro do SSL), como descrito neste trecho do
arquivo:
##
##

SSL Support

##
##

When we also provide SSL we have to listen to the

##

standard HTTP port (see above) and to the HTTPS port

##
<IfDefine HAVE_SSL>
Listen 80
Listen 443
</IfDefine>

Para forar clientes da Internet a usar a conexo HTTPS, foram inseridos os


comandos:
RewriteEngine On
RewriteRule

/.*

https://www.biomol.unb.br/

[R]

79

www.projetoderedes.kit.net

5.4.

Arquivo pf.conf

O pf (filtro de pacote ou packet filter) derruba, passa e modifica pacotes de


acordo com as regras definidas neste arquivo. So usadas regras de filtragem para
seletivamente passar o trfego enquanto as regras de traduo especificam quais
endereos sero mapeados e quais sero redirecionados. Para cada pacote
inspecionado pelo filtro, o conjunto de regras avaliado de cima para baixo, e a ltima
regra coincidente decide que ao executada. Regras devem estar em ordem: scrub,
nat, filtro.
As regras de filtragem so avaliadas em ordem seqencial, da primeira ltima.
Cada regra ou se encaixa ao pacote recebido ou no. A ltima regra que se encaixa ao
pacote decide qual ao tomada. Caso nenhuma regra se encaixe ao pacote, a ao
padro tomada deixar o pacote passar (pass).
O funcionamento das regras baseado na figura abaixo:
REGRAS DE SADA

OUT
INTERFACE EXTERNA
FXP0

164.41.88.201

REGRAS DE
ENTRADA

IN
192.168.1.1

192.168.2.1

INTERFACE SERVIDOR
BGE1

INTERFACE INTERNA
BGE0

REGRAS DE SADA

OUT

Figura 5.11: Funcionamento das regras do Packet Filter


80

www.projetoderedes.kit.net

Vamos tomar, por exemplo, uma regra da seguinte forma:


pass out log on $server_if proto udp from $int_net to $server_net keep state

Como esta regra de pass out, ela refere-se sada de pacotes, a qual est
direcionada para a interface servidor (server_if). A origem dos pacotes a rede interna
(int_net) e o destino destes a rede servidor (server_net). Assim, um pacote UPD,
originrio da rede interna, poder acessar a rede servidor passando pela interface
servidor.
A inicializao do arquivo pf .conf feita pelo comando pfctl, da seguinte forma:
1. pfctl -F r
2. pfctl -F s
3. pfctl -R arquivo

O primeiro comando executa um descarregamento (flush) nas regras. O segundo


comando executa um descarregamento da tabela de estados e o terceiro carrega o
arquivo contendo as regras.
O arquivo pf.conf (em funcionamento) est definido com os seguintes parmetros
de configurao e regras, em ordem seqencial:

5.4.1. Definies de macros


ext_if = "fxp0"
ext_if_addr = "164.41.88.201"
nat_addr = "164.41.88.202"
server_ext_addr = "164.41.88.203"
ext_net = "164.41.88.0/24"
ext_router = "164.41.88.1"
server_if = "bge1"
server_int_addr = "192.168.1.2"
server_net = "192.168.1.0/24"
int_if = "bge0"
int_net = "192.168.2.0/24"
invalid_nets = "10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16, 255.255.255.255/32"

81

www.projetoderedes.kit.net

As macros correspondem s seguintes definies:

Macro

Definio

ext_if

interface externa

ext_if_addr

endereo da interface externa

nat_addr

endereo de NAT

Server_ext_addr

endereo do servidor externo

ext_net

rede externa

ext_router

roteador externo

Server_if

interface servidor

Server_int_addr

endereo do servidor inerno

Server_net

rede do servidor

int_if

interface interna

int_net

rede interna

Invalid_nets

redes invlidas

Tabela 5.2: Definies das macros estabelecidas no arquivo pf.conf

5.4.2. Regra de Scrub

Considerando que algumas pilhas de IP no implementam corretamente a


desfragmentao do pacote IP, o OpenBSD PF prov a diretiva de scrub. Se uma regra
de scrub encontra o pacote, o componente de normalizao PF garante que o mesmo
est desfragmentado e completamente livre de todas as anormalidades, antes que seja
enviado para seu destino final. Esta regra est declarada da seguinte forma:
# normalize all incoming traffic
scrub in log on $ext_if all

5.4.3. Regra de bloqueio de tudo por padro


# block and log everything by default
block out log all
block in log all

82

www.projetoderedes.kit.net

5.4.4. Regra para prevenir spoofing ou desconfigurao

Spoofing a criao de pacotes de TCP/IP usando o endereo de IP de outra


pessoa. Roteadores usam o endereo de IP de destino para remeter pacotes pela
Internet, mas ignora o endereo IP de fonte. Aquele endereo s usado pela mquina
de destino quando ela responde origem [12].

# block and log outgoing packets that don't have our address as source,
# they are either spoofed or something is misconfigured (NAT disabled,
# for instance), we want tobe nice and don't send out garbage.
block
block
block
block

out
out
out
out

log
log
log
log

on $ext_if from ! $ext_if_addr to any


on $ext_if from ! $nat_addr to any
on $ext_if from ! $int_net to any
quick on $ext_if from ! $server_net to any

Esta regra bloqueia a sada na interface externa, para qualquer endereo, de


pacotes que no sejam originados: do endereo da interface externa ; do endereo de
NAT ; da rede interna ou da rede do servidor.
5.4.5. Regra para derrubar pacotes de broadcast
# silently dropbroadcasts (cable modem noise)
block in log quick on $ext_if from any to 255.255.255.255

5.4.6. Regras da interface externa (conectada rede externa)

5.4.6.1. Regras de ICMP

Este protocolo faz parte da Camada de Internet e usa o recurso de entrega do


datagrama IP para enviar suas mensagens. ICMP envia mensagens que executam:
Controle de Fluxo; Deteco de destinos inatingveis; Redirecionamento de rota e
Checagem de hosts remotos [13].
As regras de ICMP para a interface externa so as seguintes:

# pass out/in certain ICMP queries and keep state (ping)


# state matching is done on host addresses and ICMP id (not type/code),

83

www.projetoderedes.kit.net

# so replies (like 0/0 for 8/0) will match queries


# ICMP error messages (which always refer to a TCP/UDPpacket) are
# handledby the TCP/UDP states
pass out log on $ext_if inet proto icmp all icmp-type 8 code 0 keep state
pass in log on $ext_if inet proto icmp all icmp-type 8 code 0 keep state

Esta regra permite a sada e entrada, na interface externa, de ICMP echo [14] ( o
que habilita o PING externo).

5.4.6.2. Regras de UDP

# pass out all UDP connections and keep state


pass out log on $ext_if proto udp all keep state
# pass in certain UDP connections and keep state (DNS)
pass in log on $ext_if proto udp from any to $ext_if_addr port = domain keep
state

A primeira regra de UDP habilita a sada de pacotes UDP para a rede externa. A
segunda regra habilita a entrada de pacotes da rede externa direcionados interface
externa, caso a porta seja igual ao domnio.
O comando keep state, ao final das linhas corresponde a uma capacidade do pf
de lembrar quais sesses TCP, UDP ou ICMP foram criadas, e filtrar os pacotes de
acordo com com esta tabela de sesso. Quando o pf encontra um pacote cuja regra a
ser aplicada possui o comando keep state, ele cria uma entrada na tabela de estados
baseada na informao do pacote. Isto faz com que pacotes subseqentes da mesma
sesso possam passar pelo firewall sem que seja verificado no conjunto de regras.

5.4.6.3. Regras de TCP

# pass out all TCP connections and modulate state


pass out log on $ext_if proto tcp all modulate state
# pass in certain TCP connections and keep state (SSH, SMTP, DNS, IDENT)
pass in log on $ext_if proto tcp from any to $server_int_addr port { 22, http,
443 } keep state
pass in log on $ext_if proto tcp from any to $ext_if_addr port { 22, http, 443
} keep state

84

www.projetoderedes.kit.net

5.4.7. Regras da interface servidor

5.4.7.1. Regras UDP

As regras do protocolo UDP limitam a passagem (entrada e sada de certas


conexes UDP).

# pass in and out certain UDP connections and keep state (DNS)
pass in log on $server_if proto udp from $server_net to any port = domain keep
state
pass in log on $server_if proto udp from $server_net to $int_net keep state
pass out log on $server_if proto udp from $int_net to $server_net keep state

A primeira regra libera a entrada de pacotes UDP na interface servidor, a partir


da rede servidor, direcionados a qualquer porta igual ao domnio. A segunda e terceira
regras liberam a passagem de pacotes UDP na interface servidor: oriundos da rede
servidor para a rede interna (regra 2) e vice-versa (regra 3).

5.4.7.2. Regras TCP

# pass out all TCP connections and modulate state


pass in log on $server_if proto tcp from $server_int_addr to any port { 20,
21, 22, http, 443 } modulate state
pass out log on $server_if proto tcp from $int_net to $server_int_addr
modulate state
pass out log on $server_if proto tcp from any to $server_int_addr port { 22,
http, 443 } modulate state

As regras TCP para o servidor so descritas da seguinte forma:

liberada a entrada de pacotes TCP na interface servidor, oriundos do


endereo da interface do servidor e destinados s portas 20, 21, http, 443
(SSL);

liberada a sada de pacotes TCP da interface servidor (no Firewall),


oriundos da rede interna e destinados s portas 20, 21, 22, http e 443 (SSL)
do servidor ;
85

www.projetoderedes.kit.net

liberada a sada de pacotes TCP da interface servidor, oriundos de


qualquer endereo para o endereo da interno do servidor, desde que a porta
de destino seja 22, http (80) ou 443 (SSL).

5.4.8. Regras da interface interna (conectada rede interna)

5.4.8.1. Regras UDP

pass in log on $int_if proto udp from $int_net to any port = domain keep state
pass in log on $int_if proto udp from $int_net to $server_net keep state
pass out log on $int_if proto udp from $server_net to $int_net keep state

A primeira regra permite a entrada de pacotes na interface interna (para dentro


do Firewall), oriundos da rede interna para qualquer porta igual a domnio. A segunda
regra permite a entrada de pacotes na interface interna, provindos da rede interna para
a rede do servidor. A terceira regra permite a sada de pacotes da interface interna,
oriundos da rede do servidor para a rede interna.

5.4.8.2. Regras TCP

pass in log on $int_if proto tcp from $int_net to any keep state
pass in log on $int_if proto tcp from $int_net to $server_net keep state

As regras de TCP para a rede interna permitem:

Entrada na interface interna de pacotes do protocolo TCP, oriundos da rede


interna e com qualquer destino;

Entrada na interface interna de pacotes do protocolo TCP, oriundos da rede


interna para a rede servidor.

86

www.projetoderedes.kit.net

5.5.

Arquivo resolv.conf

O arquivo resolv.conf especifica como a rotina resolver (usada para fazer, enviar
e interpretar solicitaes ao Servidor de Domnio da Internet) deve operar. O resolv.conf
contm a informao que lida pela rotina do resolver. Este arquivo editvel e
contm uma lista de palavras-chave com valores que fornecem vrios tipos de
informao ao resolver.
Segue o arquivo resolv.conf existente em /etc.
search biomol.unb.br
nameserver 127.0.0.1
;nameserver 164.41.88.201
lookup file bind

Na primeira linha, o comando search utilizado para explicitar o servidor de


domnio local.
A segunda linha inicia com o comando nameserver, o qual indica o endereo
ipv4 do servidor de domnio utilizado pelo resolver para realizar buscas (queries).
Geralmente (e neste caso), o nameserver utilizado o da mquina local.
A Quarta linha refere-se ao comando lookup, o qual utilizado pelas rotinas
gethostbyname e gethostbyaddr para especificar quais bases de dados sero
pesquisadas, no intuito de resolver o host por nome ou endereo. As opes indicadas
no arquivo so bind (utiliza o DNS para efetuar a busca) e file (busca por entradas em
/etc/hosts ).

5.6.

Arquivos rc.conf e rc.local

O arquivo rc.conf contm uma sries de designaes de sintaxe usadas para


configurar o daemon do sistema. Apesar de no ser lido pelo kernel, ele utilizado pelo
arquivo rc, o qual possui scripts de comando para inicializao de sistema. A
designao de sintaxe a ser destacada neste arquivo aquela que habilita o packet
filter, conforme descrito abaixo:
pf=YES

# Packet filter / NAT

87

www.projetoderedes.kit.net

O arquivo rc.local executado ao fim do rc, e possui comandos e daemons que


no so parte da instalao original. A parte deste arquivo referente aos comandos
adicionais a seguinte:
# Log do firewall em arquivo texto
echo "Starting Firewall log"
/usr/sbin/tcpdump -n -e -ttt -l -s 1500 -i pflog0 > /var/log/fw.log &
# alias for ext_if (xl0)
# nat_addr
ifconfig fxp0 alias 164.41.88.202 netmask 255.255.255.0
# server_addr
ifconfig fxp0 alias 164.41.88.203 netmask 255.255.255.0

O primeiro comando realiza o armazenamento do arquivo pflog0 em


/var/log/fw.log. Os parmetros so assim definidos:

-n

No faz a converso de endereos para nomes.

-e

Imprime o nvel de link do cabealho em cada linha de dump.

-ttt

Imprime o dia e ms no timestamp.

-l

Buferiza a linha de sada (para ver os dados enquanto so

capturados).

-s

Analisa os primeiros 1500 bytes de dados de cada pacote (igual

mtu).

-i

Ouve as inferfaces.

Os comandos seguintes criam um alias para a interface externa fxp0, referentes


ao endereo de NAT (164.41.88.202) e ao endereo do servidor Web (164.41.88.203).

88

www.projetoderedes.kit.net

5.7.

Arquivo nat.conf
Este o arquivo nat.conf que est rodando na mquina RNA do Laboratrio

de Biologia Molecular:
#
#
#
#
#
#
#
#
#
#

$OpenBSD: nat.conf,v 1.4 2001/07/09 23:20:46 millert Exp $


See nat.conf(5) for syntax and examples
replace ext0 with external interface name, 10.0.0.0/8 with internal network
and 192.168.1.1 with external address
nat: packets going out through ext0 with source address 10.0.0.0/8 will get
translated as coming from 192.168.1.1. a state is created for such packets,
and incoming packets will be redirected to the internal address.

# nat on ext0 from 10.0.0.0/8 to any -> 192.168.1.1


# rdr: packets coming in through ext0 with destination 192.168.1.1:1234 will
# be redirected to 10.1.1.1:5678. a state is created for such packets, and
# outgoing packets will be translated as coming from the external address.
# rdr on ext0 proto tcp from any to 192.168.1.1/32 port 1234 -> 10.1.1.1 port 567
# DNA
nat on fxp0 from 192.168.2.0/24 to any -> 164.41.88.202
# estacoes de trabalho
binat on fxp0 from 192.168.1.1 to any -> 164.41.88.203
#binat on fxp0 from 192.168.1.1 to ! 192.168.2.0/24 -> 164.41.88.203

A regra explicita o NAT na interface externa (fxp0) originrio de qualquer


endereo da rede servidor para a rede externa, direcionados para o endereo
164.41.88.202 (endereo de NAT).
A segunda regra prev um NAT bidirecional na interface externa (fxp0) originrio da
interface da rede interna (bge1) para o endereo 164.41.88.203

89

www.projetoderedes.kit.net

5.8.

Arquivo sysctl.conf

#
$OpenBSD: sysctl.conf,v 1.25 2002/02/23 08:07:58 deraadt Exp $
#
# This file contains a list of sysctl options the user wants set at
# boot time. See sysctl(3) and sysctl(8) for more information on
# the many available variables.
#
net.inet.ip.forwarding=1
# 1=Permit forwarding (routing) of packets
net.inet.tcp.recvspace=65535 # Aumentar performance de transferencia dado
net.inet.tcp.sendspace=65535 # Idem
#net.inet6.ip6.forwarding=1
# 1=Permit forwarding (routing) of packets
#net.inet6.ip6.accept_rtadv=1 # 1=Permit IPv6 autoconf (forwarding must be 0)
#net.inet.tcp.rfc1323=0
# 0=disable TCP RFC1323 extensions (for if tcp
#is slow)
#net.inet.esp.enable=0
# 0=Disable the ESP IPsec protocol
#net.inet.ah.enable=0
# 0=Disable the AH IPsec protocol
#net.inet.ipcomp.enable=1
# 1=Enable the IPCOMP protocol
#ddb.panic=0
# 0=Do not drop into ddb on a kernel panic
#ddb.console=1
# 1=Permit entry of ddb from the console
#fs.posix.setuid=0
# 0=Traditional BSD chown() semantics
#vm.swapencrypt.enable=1
# 1=Encrypt pages that go to swap
#vfs.nfs.iothreads=4
# number of nfsio kernel threads
#net.inet.ip.mtudisc=0
# 0=disable tcp mtu discovery
#kern.usercrypto=1
# 1=enable userland use of /dev/crypto
#machdep.allowaperture=2
# See xf86(4)
#machdep.apmwarn=10
# battery % when apm status messages enabled
#machdep.apmhalt=0
# 1=powerdown hack, try if halt -p doesn't work
#machdep.kbdreset=1
# permit console CTRL-ALT-DEL to do a nice halt

O arquivo sysctl.conf contm uma lista de opes para controle do sistema.


Estas opes so carregadas no momento da inicializao. As opes habilitadas so
net.inet.tcp.recvspace=65535

net.inet.tcp.sendspace=65535

que prevem um

aumento na performance de transferncia, tanto no envio quanto no recebimento. O


parmetro net.inet.ip.forwarding=1 que tambm est habilitado, est explicitado na
seo 5.14.2.

90

www.projetoderedes.kit.net

5.9.

Arquivo syslog.conf

#
$OpenBSD: syslog.conf,v 1.12 2001/08/23 13:27:52 camield Exp $
#
*.err;kern.debug;auth.notice;authpriv.none;mail.crit
/dev/console
*.notice;auth,authpriv,cron,ftp,kern,lpr,mail,user.none
/var/log/messages
kern.debug,user.info,syslog.info
/var/log/messages
auth.info
/var/log/authlog
authpriv.debug
/var/log/secure
cron.info
/var/cron/log
daemon.info
/var/log/daemon
ftp.info
/var/log/xferlog
lpr.debug
/var/log/lpd-errs
mail.info
/var/log/maillog
#uucp.info
/var/log/uucp
*.err
root
*.notice;auth.debug
root
*.alert
root
*.emerg
*
#*.notice;auth,authpriv,cron,ftp,kern,lpr,mail,user.none
#kern.debug,user.info,syslog.info
#auth.info,authpriv.debug,daemon.info
#!sudo
#*.*
#!chat
#*.*
# Firewall
#local1.*
local1.*

@loghost
@loghost
@loghost

/var/log/sudo
/var/log/chat
/var/log/fwsyslog.log
@loghost

O arquivo syslog.conf o arquivo de configurao para o programa syslogd.


Consiste em blocos de linhas separados por especificaes de programa com cada
linha contendo dois campos: o campo seletor, que especifica os tipos de mensagens e
prioridades para as quais a linha aplica, e um campo de ao que especifica a ao a
ser tomada se uma mensagem que o syslogd combina com os critrios de seleo.

5.10. Arquivos de Interfaces de Rede

Neste projeto utilizou-se, na mquina RNA, trs interfaces de rede. Uma para
conexo com a rede externa (fxp0), a segunda para conexo com o servidor (bge1) e a
terceira utilizada conexo com a rede interna, conforme descrito no procedimento de
instalao (5.2.8). Abaixo, sero descritos os arquivos relativos ao funcionamento
destas interfaces:
91

www.projetoderedes.kit.net

hostname.fxp0

inet 164.41.88.201 255.255.255.0 NONE

hostname.bge0

inet 192.168.2.1 255.255.255.0 NONE

hostname.bge1

inet 192.168.1.1 255.255.255.0 NONE

Nestes arquivos observa-se, primeiramente, o endereo IP da interface e logo


em seguida o endereo IP da mscara de rede.

5.11. Arquivo mygate


164.41.88.1

Arquivo onde se encontra o gateway padro.

5.12. Arquivo myname


rna

Arquivo onde se encontra o nome da mquina, configurado durante o processo


de instalao.

5.13. Arquivo Hosts

O arquivo hosts contm informaes relativas aos hosts conhecidos na rede.


Para cada host uma nica linha deve ser apresentada com a seguinte informao:
endereo_internet

hostname_oficial

alias

92

www.projetoderedes.kit.net

Para o este caso, tem-se


127.0.0.1

localhost.biomol.unb.br

localhost

164.41.88.201

rna.biomol.unb.br

rna

164.41.88.202

uracila.biomol.unb.br

uracila

5.14. Outros procedimentos de configurao

5.14.1. Identificando e Configurando as Interfaces de Rede

No OpenBSD, so nomeadas interfaces pelo tipo da placa, e no pelo tipo de


conexo. Pode-se ver que a placa de rede inicializada durante o processo de Boot ou
usando o comando dmesg, depois do processo de Boot. Tambm tem-se a chance de
visualizar a interface de rede usando o comando ifconfig. Por exemplo, este resultado
do comando dmesg para uma placa de rede ne2k que usa o ne como nome de
dispositivo.
ne3 at pcmcia1 function 0 "Linksys, EtherFast 10/100 PC Card (PCMPC100), "
port 0x340/16 irq 9
ne3: address 00:e0:98:04:95:ba

Novamente pode-se verificar quais as interfaces foram identificadas utilizando o


comando ifconfig. Esta a sada do comando para um dispositivo ne2k.

$ ifconfig -a
lo0: flags=8009<UP,LOOPBACK,MULTICAST>
inet 127.0.0.1 netmask 0xff000000
lo1: flags=8008<LOOPBACK,MULTICAST>
ne3: flags=8863<UP,BROADCAST,NOTRAILERS,RUNNING,SIMPLEX,MULTICAST>
media: Ethernet manual
inet 10.0.0.38 netmask 0xffffff00 broadcast 10.0.0.255
sl0: flags=c010<POINTOPOINT,LINK2,MULTICAST>
sl1: flags=c010<POINTOPOINT,LINK2,MULTICAST>
ppp0: flags=8010<POINTOPOINT,MULTICAST>
ppp1: flags=8010<POINTOPOINT,MULTICAST>
tun0: flags=10<POINTOPOINT>
tun1: flags=10<POINTOPOINT>
enc0: flags=0<>
bridge0: flags=0<>
bridge1: flags=0<>

93

www.projetoderedes.kit.net

5.14.2. Configurando o OpenBSD como um Gateway

Esta a informao bsica que se precisa para montar o OpenBSD como um


gateway (tambm chamado de roteador).
O kernel padro j tem a habilidade para permitir IP Forwarding, mas foi
necessrio uma recompilao. Para mudar isto permanentemente editou-se o arquivo
/etc/sysctl.conf a fim de permitir o IP Forwarding. Foi adicionada esta linha naquele
arquivo de configurao.
net.inet.ip.forwarding=1

Para fazer esta mudana sem reiniciar foi usado o utilitrio sysctl diretamente.
Entretanto esta mudana j no existir depois de uma reinicializao, e precisa ser
rodado como root.
# sysctl -w net.inet.ip.forwarding=1
net.inet.ip.forwarding: 0 -> 1

5.15. Concluso

Neste captulo foram descritos todos os passos percorridos, desde a instalao


at a configurao dos arquivos que controlam a maneira com a qual o firewall se
comportar. Pode-se citar com mais nfase a parte onde so feitos os acertos para o
funcionamento do HTTPS e do arquivo pf.conf. vlido lembrar que alm disso foram
configurados os arquivos nat.conf e sysctl.conf bem como os arquivos relacionados s
interfaces de rede, a fim de completar sua implementao.

94

www.projetoderedes.kit.net

Captulo 6 Dificuldades e sugestes futuras


6.1.

Problemas encontrados

Durante o Desenvolvimento dos procedimentos de segurana, a maior


dificuldade encontrada foi a inexistncia de um modelo que pudesse atender
completamente as necessidades existentes no Laboratrio. Assim, foram utilizados
como base dois modelos de polticas de segurana existentes, o RFC2196 [3] (Site
Security Handbook) e o IT Baseline Protection Manual [4].
Na parte de implementao, uma dificuldade encontrada foi a de fazer a leitura
do log de dados coletados em formato de texto. Apesar deste problema, os dados esto
sendo coletados e armazenados em formato binrio.

6.2.

Trabalhos Futuros

Como visto no captulo 5, seria de grande importncia a continuidade do Plano


de Implantao de Medidas de Segurana, dentre as quais podem ser citadas:

IDS - Sistema de Deteco de Intruso (4.3.2.2);

Procedimentos de Backup (4.3.4.5);

Proteo Antivrus (4.3.4.4);

Segurana Fsica (4.3.3.1);

Classificao da Informao (4.3.4.2);

Recursos Humanos, gerenciamento e cuidados com a segurana dos


empregados (4.3.4.1).

Um Sistema de Deteco de Intruso, colocado na rede interna do laboratrio


(dentro do Firewall) poderia auxiliar este, na medida em que o log deste auxiliaria na
determinao do nvel de funcionalidade do Firewall. O IDS poderia tambm ser
colocado na rede externa, o qual auxiliaria a identificar o nvel de ameaa a que uma
rede est sujeita.
95

www.projetoderedes.kit.net

A implantao de procedimentos peridicos de backup auxiliariam na garantia da


restaurao dos dados, caso algum problema ocorresse com os dados em disco.
Backups Completos uma vez na semana e Diferenciais nos outros dias (exceto Sbado
e Domingo) fariam parte dos procedimentos, assim como etiquetao das fitas e
encriptao dos dados contidos nestas.
A Instalao de um sistema de proteo antivrus centralizado, com controle de
atualizao das estaes seria outra parte do plano de implantao futuro. Este
procedimento possui um diferencial em relao aos anteriores, pois at o momento s
existem solues proprietrias com alto grau de confiabilidade. Sua implantao
dependeria de um oramento prprio, o qual serviria para sua compra e manuteno.
Sobre os procedimentos em Segurana Fsica, medidas como instalao de um
sistema de controle eletrnico na entrada e sada e instalao de grades no ar
condicionado tambm dependem de oramento para sua viabilizao. No caso da
instaurao do uso de crachs, existe tambm a necessidade de haver um funcionrio
fazendo o controle da distribuio e recolhimento destes, bem como a anotao dos
dados dos visitantes.
Um sistema de classificao de informao tambm facilitaria a distribuio das
permisses de usurio, pois diria o nvel de confidencialidade da informao que
determinada pessoa precisa acessar.
Para trabalhos futuros, fica tambm como sugesto a incluso de materiais
escritos contendo as polticas de segurana do laboratrio, bem como o treinamento
dos usurios para uso adequado destas polticas.

6.3.

Concluso

Este captulo cita alguns complementos que podem ser incorporados com o
intuito de melhorar a segurana e a consistncia do sistema, evitando possveis perdas
ou danos os quais o firewall, sozinho, no tem condies de prevenir ou reparar.

96

www.projetoderedes.kit.net

Captulo 7 Concluso
Sobre os objetivos descritos para este projeto, no Captulo 1, pode-se dizer que
eles foram atingidos. Tanto a implementao do Firewall quanto o Desenvolvimento dos
Procedimentos de Segurana foram bem sucedidos.
Aps diversas etapas como levantamento de dados, pesquisa, aplicao de
questionrios e implantao do Firewall, percebeu-se a importncia das contribuies
trazidas pelo trabalho realizado.
O Desenvolvimento dos Procedimentos de Segurana do Laboratrio trouxeram
um alicerce para esta difcil tarefa que identificar as vulnerabilidades existentes no
local. Com a descrio dos motivos pelos quais estas vulnerabilidades foram levantadas
e a especificao das medidas necessrias para minimiz-las, os Procedimentos de
Segurana constituram o ponto de partida para a implantao das Medidas de
Segurana necessrias.
A fase de aplicao de questionrio foi de enorme contribuio, principalmente
pela interao com os usurios do laboratrio, onde estes puderam explicitar suas
sugestes de medidas de segurana.
Na fase de Desenvolvimento dos Procedimentos foi possvel ter uma idia do
quanto de informao sobre os mais diversos tpicos de segurana existem, seja em
livros, publicaes cientficas ou mesmo em sites de rgos governamentais.
Na implantao do Firewall, pode-se ter uma idia de que segurana no diz
respeito somente a instalao de determinado hardware com o objetivo de controlar o
trfego em uma rede. Esta engloba tambm poder estabelecer um equilbrio entre as
necessidades do grupo e a minimizao dos riscos de segurana conseqentes desta
necessidade. Alm disso, nenhuma caixa fechada que seja vendida pode atender de
pronto a uma demanda especfica de um local. Alm da eficincia, a adequao com
as necessidades faz do Firewall um equipamento to especfico para uma rede quanto
os servios que precisam rodar nesta.
Ressalta-se que este trabalho no tem por objetivo ser um documento definitivo.
Necessidades

futuras,

neste

mesmo

laboratrio,

podem

demandar

outros

Procedimentos de Segurana, ou mesmo reestruturao dos antigos. No caso do


97

www.projetoderedes.kit.net

Firewall, novos alertas de possveis vulnerabilidades, novas formas de ataques ou


mesmo outros servios, que porventura sejam inseridos no sistema, demandam um
cuidado freqente com o mesmo.
Espera-se que este trabalho seja continuado e que sua contribuio seja vlida
para outros projetos nesta mesma rea. Em seu desenvolvimento, este projeto trouxe
um modelo prtico de Procedimentos de Segurana, o qual poder ser tomado como
ponto de partida para o desenvolvimento de novos projetos de segurana em outros
laboratrios com necessidades afins.
Como dito no incio deste trabalho, apenas com um estudo detalhado dos
problemas potenciais e implantao das alteraes sugeridas, uma rede e seus
componentes podero atender s expectativas voltadas a eles. Apesar de no existir
um modelo de segurana perfeito, a implementao de Procedimentos de Segurana
pode minimizar o efeito de problemas desta natureza.

98

www.projetoderedes.kit.net

Anexo 1 Questionrio de Avaliao Preliminar


1.1.

Estado da poltica atual


As questes seguintes no s coletam informaes de base sobre a poltica de

segurana, como tambm determinam se os usurios (empregados) possuem alguma


idia sobre quem responsvel pela determinao de tal poltica.

1.2.

O laboratrio possui alguma poltica de segurana ?

Quem a desenvolveu ? Um indivduo ? Um grupo ?

Aonde e como(papel, eletrnico) a poltica de segurana est disponvel ?

Quando as polticas foram atualizadas pela ltima vez ?

Quem, se algum, tem a responsabilidade explcita de manter as polticas ?

Quem implementa a poltica de segurana a nvel do laboratrio ?

A quem o responsvel pela segurana subordinado ?

Quem monitora a concordncia com as polticas de segurana e padres ?

Classificao de Dados

Existem nveis de classificao da segurana aplicveis ao seu trabalho ? Se


sim, como eles so chamados ?

99

www.projetoderedes.kit.net

Existem regras que determinam se a informao que voc trabalha deve ser
classificada com um nvel particular de confidencialidade ?

Existem documentos ou arquivos rotulados

para mostrar seu nvel de

segurana ?

Qual sua opinio sobre o valor de tal classificao ?

As pessoas em seu grupo prestam ateno s classificaes do nvel de


segurana ?

1.3.

Voc possui alguma sugesto para melhoria da classificao dos dados ?

Sistemas Sensveis

As questes nesta seo focam a informao que deve ser controlada contra
revelao no autorizada e disseminao;

Em seu trabalho, existe algum tipo de informao, documentos ou sistemas


que voc acredita que deveriam estar protegidos contra revelao no
autorizada ?

Como voc pessoalmente protege a informao sensvel que voc lida ?

De maneira annima, como as outras pessoas do laboratrio lidam com as


informaes sensveis ?

Que voc saiba, houve algum problema com a revelao de informao


sensvel no laboratrio ?

100

www.projetoderedes.kit.net

Voc tem alguma sugesto para melhorar o modo como se lida com a
informao sensvel ?

1.4.

Sistemas Crticos
As questes nesta seo focam a informao que necessita de ateno especial

quanto disponibilidade e exatido.

Em seu trabalho, existe algum tipo de informao, documentos, ou sistemas


que voc sente serem crticos a ponto de serem protegidos contra
modificao no autorizada ou destruio ? Caso positivo, nomeie-os.

Existe alguma precauo especial usada por voc quanto guarda de


informao crtica em sua rea ?

1.5.

Autenticidade

Voc sabe de algum caso onde algum tenha usado de outra identidade para
enviar e-mails, faxes ou cartas ? Caso positivo, houveram conseqncias ?

Algum no seu grupo usa assinatura digital ou documentos eletrnicos ?

Algum no seu grupo usa ou faz cpias de algum sistema proprietrio ? Caso
positivo, voc acha que existe algum problema nisso ?

1.6.

Exposio

Quais so as piores conseqncias que voc pode imaginar que resultariam


da publicao (divulgao) da informao mais sensvel que voc possui ?

101

www.projetoderedes.kit.net

O que aconteceria, na sua opinio, se concorrentes obtivessem a informao


confidencial especfica que voc controla em sua rea ?

Voc pode estimar custos monetrios associados com a questo descrita


acima ?

Quais seriam as piores conseqncias que voc poderia prever se a


informao crtica com a qual voc trabalha fosse alterada sem autorizao
ou por meio acidental ?

O que aconteceria se voc no pudesse acessar a informao crtica de


maneira rpida o suficiente para realizar seu trabalho ?

Voc pode imaginar os custos destas brechas de disponibilidade de dados e


integridade de dados ?

Haveria problema se algum forjasse documentos em seu nome ou em nome


do laboratrio ? Voc poderia esboar algum cenrio e mostrar os custos
resultantes destas brechas de autenticidade ?

1.7.

Recursos humanos, gerenciamento e cuidados com a segurana do

pessoal

Do seu conhecimento, quem o responsvel pelo desenvolvimento das


polticas de segurana ?

Voc sabe onde encontrar as polticas de segurana que se aplicam ao seu


trabalho ?

Quando, se alguma vez, voc se lembra de ter assinado algum documento


concordando com as polticas de segurana ?
102

www.projetoderedes.kit.net

Quem responsvel pela monitorao da concordncia com as polticas de


segurana no laboratrio ? E no departamento ?

Voc j recebeu algum treinamento em polticas de segurana ?

Caso

positivo, quando foi a ltima vez ?

Voc j viu algum material escrito circulando em seu grupo de trabalho que
discuta segurana de informao ?

Voc acredita que proteger a informao do laboratrio uma de suas


responsabilidades oficiais ?

1.8.

Segurana Fsica

Algum confere a sua identificao quando voc entra no departamento


(subsolo) ?

Existe algum sistema eletrnico de controle de acesso limitando o acesso a


sua rea de trabalho ? o que ?

As pessoas seguram a porta para que outros estranhos entrem em rea


segura ? Voc faz o mesmo ?

As pessoas deixam a rea em que trabalham (laboratrio) aberto em


perodos onde ningum se encontra no recinto ?

As pessoas que trabalham no laboratrio usam crachs de identificao ?

Os visitantes usam crachs ?

103

www.projetoderedes.kit.net

Voc j viu visitantes em sua rea de trabalho sem estar usando crachs ?

O que voc faria se voc visse um estranho sem identificao na rea que
voc trabalha ?

Voc tranca alguma parte da sua mesa de trabalho quando voc sai do
recinto do laboratrio ?

O que voc faria se ouvisse um alarme de incndio ?

Aonde o extintor de incndio mais prximo ?

O que voc faria se algum precisasse de ateno mdica ?

Existe algum posto de tratamento mdico nas proximidades ?

Existe algum qualificado para fazer massagem cardio-pulmonar no recinto ?


Caso positivo, esta possui identificao ?

Voc teve algum treinamento sobre o que fazer em caso de emergncia ?


Voc foi treinado para evacuar a rea ?

Existe alguma coisa que voc acredita que possa ser melhorada sobre a
segurana fsica ?

1.9.

Segurana das operaes com computadores

Quanto voc aguarda, aps o lanamento de novas verses do sistema


operacional em uso, para atualizar as mquinas em produo ?

Como voc coloca o novo software em produo ?


104

www.projetoderedes.kit.net

Como voc lida com relatos de problemas ? Voc possui algum sistema
automatizado de recepo de problemas ?

Pessoas de fora do laboratrio podem acessar as mquinas deste ?

Pessoas contratadas, incluindo tcnicos de reparo, podem circular pela rea


restrita sem estar acompanhados ?

O pessoal da limpeza circula pela rea restrita sem que haja algum do grupo
do laboratrio presente ?

Os componentes do sistema possuem nmero de identificao de patrimnio


?

Existe um sistema de permanncia de alimentao de energia, em caso de


queda da energia externa ? Isto inclui o ar condicionado ?

Existem registros para os momentos onde o sistema ficou fora do ar ?


Quantas vezes isto ocorreu nos ltimos 3 meses ? E no ltimo ano ?

Quem monitora a utilizao de recursos do sistema ? Existem relatrios


otimizados mostrando a utilizao de disco, CPU ou largura de banda ?

Quais melhorias em segurana das operaes de computadores voc


gostaria de ver implementadas ?

1.10. Controle de acesso a dados

Voc precisa de identificao para acessar o computador e a rede com a qual


voc trabalha ?
105

www.projetoderedes.kit.net

Voc possui um (ID) que no compartilhado com ningum ?

Voc precisa de utilizar uma senha para iniciar o uso do seu computador ?

Voc j compartilhou a sua senha com algum ? Voc j pegou a senha de


algum emprestado ? Caso positivo, conte em que situao isto ocorreu.

Existem limitaes quanto permisso de uso da informao que voc


trabalha ?

Existe informao que voc possa ver mas no possa alterar ?

Voc usa encriptao com alguma informao de trabalho ?

Existem laptops para uso pessoal ? A informao contida neles


criptografada ?

Algum do grupo de usurios do laboratrio leva trabalho para casa ? Caso


positivo, alguma informao passada a um computador pessoal ? Mais
algum tem acesso a estes computadores pessoais ? Existe algum controle
de acesso a estas informaes de trabalho no computador pessoal ?

1.11. Segurana da rede e comunicaes

Como usurio, voc conhece as regras de uso do e-mail de outros


funcionrios e acesso Internet por via deste ?

Voc conhece algum que regularmente viola as restries de uso do sistema


? Sem nomes, por favor.

106

www.projetoderedes.kit.net

Voc j viu pornografia dentro do trabalho ? Pornografia infantil ? Materiais


racistas ? Caso positivo, voc soube o que fazer ? E o que voc fez ?

Algum j discutiu as regras de segurana de e-mail com voc ? Voc sabe


como encriptar mensagens importantes ? Voc encripta mensagens ?

Como gerente de rede , voc possui diagramas de rede atualizados ? Voc


pode produzi-lo por demanda ?

Voc sabe quais servios esto rodando nos seus sistemas conectados
Internet ? Todos eles so necessrios ?

Como voc determina quais patches so necessrios de se instalar no


sistema ? Qual a freqncia de checagem ? Quem responsvel pelo
gerenciamento dos patches ? Qual o intervalo de tempo entre o lanamento
de um patch de vulnerabilidade e sua instalao ?

A sua arquitetura de segurana inclui Firewall ? Caso positivo, o que


determina as polticas de segurana instanciadas nas regras de filtragem ?

Voc tem IDS (sistema de deteco de intruso) ? Quem o pessoal


responsvel pela notificao da intruso ?

Quais so os procedimentos para resposta a uma intruso ?

Se o laboratrio usa senhas, como se lida quanto solicitao de novas


senhas ?

Voc tem controle de acesso remoto centralizado ?

107

www.projetoderedes.kit.net

Usurios remotos usam VPNs para acessar, de fora do Firewall, sistemas do


laboratrio ?

Os usurios podem usar encriptao para enviar e-mails para a Internet ?


Eles usam ? Como voc sabe ?

Os seus usurios aplicam assinatura digital a toda comunicao ?

Os servidor Web est protegido contra intruso e vandalismo ?

A informao sensvel encontra-se fora do servidor Web ?

Voc encripta toda informao sensvel de dentro do servidor Web ?

Quanto levaria para voc restaurar um servidor Web se este fosse


vandalizado ou destrudo ?

Como voc sabe que um funcionrio foi despedido ou est deixando o


emprego ? Quanto leva entre o fim do emprego do funcionrio e a sua
desativao de acesso a todos os sistemas ?

1.12. Medidas Antivrus

Voc e os outros usurios possuem produtos antivrus em suas estaes de


trabalho ?

Qual a freqncia de atualizao de antivrus ? Como feita esta atualizao


?

Quanto tempo leva para que todos os sistemas desatualizados sejam


atualizados ?
108

www.projetoderedes.kit.net

Voc ou outros usurios abrem anexos de e-mail no solicitados ?

1.13. Backups, arquivos e destruio de dados

Com qual freqncia feito o backup das informaes ?

Aonde a mdia de backup armazenada ? Existem cpias do backup fora do


laboratrio ? Como voc sabe qual mdia utilizar em caso de necessidade de
se restaurar um arquivo especfico ?

Por quanto tempo voc mantm diferentes tipos de backup ? Por qu ?

Como voc previne acesso no autorizado mdia de backup ?

Se voc mantm backups por vrios anos, como voc garante que a mdia
antiga ser passvel de leitura e que os dados desenvolvidos para aplicaes
antigas sero usados ?

Como voc se desfaz de fitas e discos magnticos aps o ciclo de vida til
destes ter se esgotado ? A mdia descartada passvel de leitura ?

Voc faz cpias de backup de documentos em papel ? Aonde elas so


mantidas ? Como voc localizaria um determinado documento que necessita
?

Por quanto tempo voc guarda seus papis ? Por qu ?

Quando voc se desfaz de papis, o seu contedo influencia no modo de


destruio deste ? Como voc se desfaz de documentos importantes ?

109

www.projetoderedes.kit.net

Anexo 2 Lista de Tabelas

3.1

Esquematizao de Regras de filtragem (protocolo DNS)

29

4.1

Descrio das estaes de trabalho Dell Optiplex GX150 SD

44

4.2

Descrio das estaes de trabalho Dell Precision 530

45

4.3

Descrio do servidor Dell PowerEdge 1400SC

46

4.4

Descrio do servidor Dell PowerEdge 6400

47

4.5

Descrio do Switch Extreme Networks Summit 24e2

48

4.6

Descrio da impressora Hp Laserjet 2100

48

4.7

Distribuio dos Procedimentos a partir dos dados obtidos na Fase II

50

5.1

Plano de Medidas do laboratrio de Biologia Molecular

67

5.2

Definies das macros estabelecidas no arquivo pf.conf

82

110

www.projetoderedes.kit.net

Anexo 3 Lista de Ilustraes

3.1

Um Firewall geralmente separa a rede interna da Internet

19

3.2

Atuao de um Screening Router

25

3.3

bit ACK no protocolo TCP

27

3.4

Ataque do tipo IP spoofing

28

5.1

Tela inicial de instalao

70

5.2

Configurao de disco

71

5.3

Parmetros de disco existentes

71

5.4

Criao das parties de disco

72

5.5

Tabela de parties de disco

73

5.6

Configurao dos pontos de montagem e formatao

74

5.7

Configurao da rede

75

5.8

Escolha da Mdia de Instalao e senha de root

76

5.9

Escolha dos pacotes de instalao

77

5.10 Configurao de fuso-horrio e finalizao

78

5.11 Funcionamento das regras do Packet Filter

80

111

www.projetoderedes.kit.net

Referncias Bibliogrficas
[1]

Siyan, K.; Hare, Chris. Internet Firewalls and Network Security. New Riders
Publishing. 1995.

[2]

RUSecure ISO Information Security Officers Manual, verso de avaliao 1.2.


Glendale Systems, 2001. Conjunto de programas.

[3]

B. Fraser, SITE SECURITY HANDBOOK, RFC 2196, set. 1997. Disponvel em:
<http://www.ietf.org/rfc/rfc2196.txt?number=2196>. Acesso em: 10 jul. 2002.

[4]

D. Henze, IT BASELINE PROTECTION MANUAL, jul. 2001. Disponvel em:


<http://www.bsi.bund.de/gshb/english/menue.htm>. Acesso em: 10 jul. 2002.

[5]

S. Boran, IT SECURITY COOKBOOK, 2001. Disponvel em:


<http://www.boran.com/security/detail_toc.html>. Acesso em: 20 jul. 2002.

[6]

The OpenBSD. Disponvel em: <http://www.openbsd.org>. Acesso em: 05 jul.


2002.

[7]

B. Caswell e M. Roesch, SNORT THE OPEN SOURCE NETWORK


INTRUSION DETECTION SYSTEM. Disponvel em: <http://www.snort.org/>.
Acesso em: 05 jul. 2002.

[8]

R. Danyliw, ACID ANALISIS CONSOLE FOR INTRUSION DATABASES:


Disponvel em: <http://www.andrew.cmu.edu/~rdanyliw/snort/snortacid.html>.
Acesso em: 05 jul. 2002.

[9]

S. Garfinkel e G. Spafford, Practical UNIX and Internet Security, OReilly &


Associates, Sebastopol, CA, 1996.

112

www.projetoderedes.kit.net

[10]

S. Bosworth e M. E. Kabay, Computer Security Handbook, 4 edio, John


Wiley and Sons, INC, 2002.

[11]

D. B. Chapman e E. D. Zwicky, Building Internet Firewalls, 1 edio, OReilly &


Associates, Sebastopol, CA, 1995.

[12]

Internet Security Systems ISS. Disponvel em:


<http://www.iss.net/security_center/advice/Underground/Hacking/Methods/Techni
cal/Spoofing/default.htm>. Acesso em: 20 jul. 2002.

[13]

C. Hunt, TCP/IP Network Administration, 2 edio, OReilly & Associates,


Sebastopol, CA, 1997.

[14]

G. Fairhurst, ICMP TYPE NUMBERS, 01 out. 2001. Disponvel em:


<http://www.erg.abdn.ac.uk/users/gorry/course/inet-pages/icmp-code.html>.
Acesso em: 30 jul. 2002.

[15]

M. A. Spohn. Tutorial sobre internet Firewalls, dez. 1996. Disponvel em:


<http://penta.ufrgs.br/redes296/firewall/packet.html> Acesso em: 05 jul. 2002.

113

www.projetoderedes.kit.net

Anexo 4 Respostas ao Questionrio

114